IBM Security Verify Bridge 1.0.5.0 could allow a user to obtain sensitive information due to improper certificate validation.

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

• ibm security verify bridge1.0.7 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (ibm) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• IBM Security Verify Bridge

  • 1.0.5.0etkilenir

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2021-20442IBM Security Verify Bridge contains hard-coded credentials, such as a password or cryptographic key, which it uses for its own inbound authe
  30İzleyin
• CVE-2024-45672IBM Security Verify Bridge data manipulation
  24İzleyin
• CVE-2021-20441IBM Security Verify Bridge uses weaker than expected cryptographic algorithms that could allow an attacker to decrypt highly sensitive infor
  23İzleyin

Bu üründe bundan önce ve sonra yayımlananlar

• ← ÖncekiCVE-2021-2043423 Eyl 2021 · IBM Security Verify Bridge 1.0.5.0 stores user credentials in plain clear text which can be read by a local user.
  17İzleyin
• ← ÖncekiCVE-2021-2043523 Eyl 2021 · IBM Security Verify Bridge 1.0.5.0 does not properly validate a certificate which could allow a local attacker to obtain sensitive informati
  22İzleyin
• ← ÖncekiCVE-2021-3886323 Eyl 2021 · IBM Security Verify Bridge 1.0.5.0 stores user credentials in plain clear text which can be read by a locally authenticated user.
  22İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Sertifika doğrulama hatası, bağlantıyı kesmek yerine sessizce yutuluyor. Çoğu zaman test ortamı için eklenen kod üretime taşınır.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {2  // Test ortamı için boş bırakıldı3}

1val client = OkHttpClient.Builder()2  .certificatePinner(3    CertificatePinner.Builder()4      .add("api.sirius.example", "sha256/…")5      .build()6  ).build()

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.