IBM QRadar 7.2 does not perform an authentication check for a critical resource or functionality allowing anonymous users access to protecte

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ibm qradar security information and event manager7.2.0
• ibm qradar security information and event manager7.2.1
• ibm qradar security information and event manager7.2.2
• ibm qradar security information and event manager7.2.3
• ibm qradar security information and event manager7.2.4
• ibm qradar security information and event manager7.2.5
• ibm qradar security information and event manager7.2.6
• ibm qradar security information and event manager7.2.7
• ibm qradar security information and event manager7.2.8

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (ibm). Не зависят от анализа CPE в NVD и обычно опережают его.

• IBM Corporation QRadar SIEM

  • 7.1 MR1, 7.1, 7.0, 7.2, 7.1 MR2, 7, 7.2.3затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-4280IBM QRadar SIEM 7.3 and 7.4 could allow a remote attacker to execute arbitrary commands on the system, caused by insecure deserialization of
  57В плане
• CVE-2020-4888IBM QRadar SIEM 7.4.0 to 7.4.2 Patch 1 and 7.3.0 to 7.3.3 Patch 7 could allow a remote attacker to execute arbitrary commands on the system,
  54В плане
• CVE-2018-1418IBM Security QRadar SIEM 7.2 and 7.3 could allow a user to bypass authentication which could lead to code execution.
  50В плане
• CVE-2018-1612IBM QRadar Incident Forensics (IBM QRadar SIEM 7.2, and 7.3) could allow a remote attacker to bypass authentication and obtain sensitive inf
  40В плане
• CVE-2026-10025IBM QRadar SIEM has an XML External Entity (XXE) injection vulnerability
  39Наблюдать
• CVE-2021-38869IBM QRadar SIEM 7.3, 7.4, and 7.5 in some situations may not automatically log users out after they exceede their idle timeout.
  39Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Аутентификация добавляется к каждому маршруту по отдельности, а не обеспечивается централизованно. Если маршрут, добавленный позже, обходит общий промежуточный обработчик, проверка сессии для него не выполняется вовсе.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use("/admin", requireSession, adminRouter);2
3// Добавленный позже маршрут обходит обработчик4app.post("/admin-api/config", updateConfig);

1const admin = express.Router();2admin.use(requireSession, requireRole("admin"));3
4admin.post("/config", updateConfig);5app.use("/admin", admin);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.