IBM Security Guardium command execution

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• ibm security guardium10.6
• ibm security guardium11.3
• ibm security guardium11.4
• ibm security guardium11.5

Üreticinin bildirdiği sürümler

Kaydı açan otorite (ibm) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• IBM Security Guardium

  • 10.6, 11.3, 11.4, 11.5etkilenir

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2017-1253IBM Security Guardium 10.0 could allow a remote authenticated attacker to execute arbitrary commands on the system.
  40Planlayın
• CVE-2017-1269IBM Security Guardium 10.0 and 10.1 is vulnerable to SQL injection.
  40Planlayın
• CVE-2020-4690IBM Security Guardium 11.3 contains hard-coded credentials, such as a password or cryptographic key, which it uses for its own inbound authe
  39İzleyin
• CVE-2021-20418IBM Security Guardium 11.2 does not require that users should have strong passwords by default, which makes it easier for attackers to compr
  39İzleyin
• CVE-2021-20426IBM Security Guardium 11.2 contains hard-coded credentials, such as a password or cryptographic key, which it uses for its own inbound authe
  39İzleyin
• CVE-2020-4193IBM Security Guardium 11.1 uses an inadequate account lockout setting that could allow a remote attacker to brute force account credentials.
  39İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Kullanıcı girdisi, bir kabuk komutunun içine metin olarak yerleştiriliyor. Kabuk, girdideki özel karakterleri komutun parçası olarak yorumlayabilir.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1const host = req.body.host;2exec("ping -c 1 " + host, onResult);

1const host = req.body.host;2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);3execFile("ping", ["-c", "1", host], onResult);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.