IBM Security Verify Information Queue 10.0.2 contains hard-coded credentials, such as a password or cryptographic key, which it uses for its

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ibm security verify information queue10.0.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (ibm). Не зависят от анализа CPE в NVD и обычно опережают его.

• IBM Security Verify Information Queue

  • 10.0.2затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-35286IBM Security Verify Information Queue 10.0.2 is vulnerable to cross-site request forgery which could allow an attacker to execute malicious
  35Наблюдать
• CVE-2022-35285IBM Security Verify Information Queue 10.0.2 is vulnerable to cross-site request forgery which could allow an attacker to execute malicious
  35Наблюдать
• CVE-2021-20403IBM Security Verify Information Queue 1.0.6 and 1.0.7 is vulnerable to cross-site request forgery which could allow an attacker to execute m
  35Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2022-3528314 июл. 2022 г. · IBM Security Verify Information Queue 10.0.2 could allow an authenticated user to cause a denial of service with a specially crafted HTTP re
  26Наблюдать
• ← РаньшеCVE-2022-3528425 июл. 2022 г. · IBM Security Verify Information Queue 10.0.2 could disclose sensitive information due to a missing or insecure SameSite attribute for a sens
  30Наблюдать
• Позже →CVE-2022-3528825 июл. 2022 г. · IBM Security Verify Information Queue 10.0.2 could allow a user to obtain sensitive information that could be used in further attacks agains
  26Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Ради удобства поддержки или производства в ПО встраивается учётная запись, одинаковая на всех устройствах. Данные, полученные с одного устройства, действуют на всех.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const SUPPORT_USER = "support";2const SUPPORT_PASS = "zhestko-zadannyy-parol";

1const creds = await provisioning.deviceCredentials(deviceId);2if (creds.mustRotate) await forcePasswordChange(deviceId);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.