IBM Tivoli Key Lifecycle Manager 2.6, 2.7, and 3.0 generates an error message that includes sensitive information about its environment, use

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ibm security key lifecycle manager2.6.0 и новее · до 2.6.0.4 включительно
• ibm security key lifecycle manager2.7.0 и новее · до 2.7.0.3 включительно
• ibm security key lifecycle manager3.0 и новее · до 3.0.0.1 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (ibm). Не зависят от анализа CPE в NVD и обычно опережают его.

• IBM Security Key Lifecycle Manager

  • 2.6, 2.7, 3.0затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-4567IBM Tivoli Key Lifecycle Manager 3.0.1 and 4.0 uses an inadequate account lockout setting that could allow a remote attacker to brute force
  40В плане
• CVE-2017-1670IBM Tivoli Key Lifecycle Manager 2.5, 2.6, and 2.7 is vulnerable to SQL injection.
  40В плане
• CVE-2016-6093IBM Tivoli Key Lifecycle Manager does not require that users should have strong passwords by default, which makes it easier for attackers to
  40В плане
• CVE-2023-25684IBM Security Key Lifecycle Manager SQL injection
  39Наблюдать
• CVE-2016-6095IBM Tivoli Key Lifecycle Manager 2.5 and 2.6 uses an inadequate account lockout setting that could allow a remote attacker to brute force ac
  39Наблюдать
• CVE-2018-1742IBM Tivoli Key Lifecycle Manager 2.6, 2.7, and 3.0 contains hard-coded credentials, such as a password or cryptographic key, which it uses f
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.