Veri Risk Yöneticisini Etkileyen IBM Sıfırıncı Gün RCE Güvenlik Açıkları Genel Yayınlandıktan Sonra Bile Uygulanmadı mı?

IBM, Oak Ridge Ulusal Laboratuvarı

IBM’in kurumsal güvenlik araçlarından biri olan IBM Data Risk Manager (IDRM) içindeki birden çok güvenlik açığının, bir üçüncü kişi güvenlik araştırmacısı tarafından ortaya çıkarıldığı bildirildi. Bu arada, Sıfırıncı Gün güvenlik açıkları, IBM tarafından başarıyla yamalanmayı bırakın, henüz resmi olarak kabul edilmedi.

Olası Uzaktan Kod Yürütme (RCE) yeteneklerine sahip en az dört güvenlik açığı keşfeden bir araştırmacının vahşi ortamda mevcut olduğu bildiriliyor. Araştırmacı, IBM'e yaklaşmaya ve IBM'in Data Risk Manager güvenlik sanal aygıtındaki güvenlik kusurlarının ayrıntılarını paylaşmaya çalıştığını iddia ediyor, ancak IBM bunları kabul etmeyi reddetti ve sonuç olarak görünüşe göre onları yamalanmadan bıraktı.

IBM, Sıfırıncı Gün Güvenlik Açığı Raporunu Kabul Etmeyi Reddediyor mu?

IBM Data Risk Manager, veri keşfi ve sınıflandırması sağlayan bir kurumsal üründür. Platform, organizasyon içindeki bilgi varlıklarına dayanan iş riski hakkında ayrıntılı analitik içerir. Eklemeye gerek yok, platform, aynı şeyi kullanan işletmeler hakkında kritik ve hassas bilgilere erişebilir. Güvenliği ihlal edilirse, tüm platform, bilgisayar korsanlarına daha fazla yazılım ve veritabanına kolay erişim sunan bir köle haline getirilebilir.

Güvenlik araştırmacısı dört sıfır günü açıkladı #vulnerabilities IBM'in IBM Data Risk Manager'ı (IDRM) etkileyen #enterprisesecurity araçlar. #siber güvenlik https://t.co/jvdcufgQqi https://t.co/2cKjfrCOoz

- David De Sousa (@DavidDeSDrumond) 21 Nisan 2020

Birleşik Krallık'taki Agile Information Security'den Pedro Ribeiro, IBM Data Risk Manager'ın 2.0.3 sürümünü araştırdı ve bildirildiğine göre toplam dört güvenlik açığı keşfetti. Kusurları onayladıktan sonra Ribeiro, Carnegie Mellon Üniversitesi'nde CERT / CC aracılığıyla IBM'e ifşa etmeye çalıştı. Bu arada IBM, aslında bu tür güvenlik zayıflıklarını bildirmek için resmi bir kanal olan HackerOne platformunu işletmektedir. Bununla birlikte, Ribeiro bir HackerOne kullanıcısı değil ve görünüşe göre katılmak istemedi, bu yüzden CERT / CC'den geçmeyi denedi. Garip bir şekilde IBM, aşağıdaki mesajla kusurları kabul etmeyi reddetti:

' Bu raporu değerlendirdik ve güvenlik açığı ifşa programımızın kapsam dışı olduğu için kapattık, çünkü bu ürün yalnızca müşterilerimiz tarafından ödenen 'gelişmiş' destek içindir . Bu, politikamızda özetlenmiştir https://hackerone.com/ibm . Bu programa katılmaya hak kazanmak için, bir raporu göndermeden önceki 6 ay içinde IBM Corporation, bir IBM yan kuruluşu veya IBM müşterisi için güvenlik testi yapmak üzere sözleşme yapmamış olmanız gerekir. '

Ücretsiz güvenlik açığı raporu bildirildiğine göre reddedildikten sonra, araştırmacı, dört konu hakkında GitHub'da ayrıntılar yayınladı . Araştırmacı, raporu yayınlama nedeninin IBM IDRM kullanan şirketleri yapmak olduğunu garanti ediyor. güvenlik kusurlarının farkında ve herhangi bir saldırıyı önlemek için azaltıcı önlemleri uygulamaya koymalarına izin verin.

IBM IDRM'deki 0 Günlük Güvenlik Açıkları Nelerdir?

Dört güvenlik açığından üçü, ürün üzerinde kök ayrıcalıkları elde etmek için birlikte kullanılabilir. Kusurlar arasında bir kimlik doğrulama atlama, bir komut ekleme hatası ve güvenli olmayan bir varsayılan şifre bulunur.

Kimlik doğrulama atlama, bir saldırganın bir API ile ilgili bir sorunu kötüye kullanarak Data Risk Manager cihazının rastgele bir oturum kimliğini ve bir kullanıcı adını kabul etmesini ve ardından bu kullanıcı adı için yeni bir parola oluşturmak üzere ayrı bir komut göndermesini sağlar. Saldırının başarıyla kötüye kullanılması, esas olarak web yönetim konsoluna erişim sağlar. Bu, platformun kimlik doğrulama veya yetkili erişim sistemlerinin tamamen atlandığı ve saldırganın IDRM'ye tam yönetici erişimine sahip olduğu anlamına gelir.

https://twitter.com/sudoWright/status/1252641787216375818

Yönetici erişimiyle bir saldırgan, rasgele bir dosya yüklemek için komut enjeksiyonu güvenlik açığını kullanabilir. Üçüncü kusur, ilk iki güvenlik açığı ile birleştirildiğinde, kimliği doğrulanmamış bir uzak saldırganın, IDRM sanal cihazında kök olarak Uzaktan Kod Yürütme (RCE) elde etmesine ve sistemin tamamen tehlikeye atılmasına neden olur. IBM IDRM'deki dört Sıfır Gün Güvenlik Açığını özetleyerek:

• IDRM kimlik doğrulama mekanizmasının atlanması
• IDRM API'lerinden birinde bulunan ve saldırıların uygulamada kendi komutlarını çalıştırmasına izin veren bir komut enjeksiyon noktası
• Sabit kodlu bir kullanıcı adı ve şifre kombinasyonu a3user / idrm
• Uzak bilgisayar korsanlarının IDRM cihazından dosya indirmesine izin verebilen IDRM API'sindeki bir güvenlik açığı

Bu yeterince zarar vermiyorsa, araştırmacı, kimlik doğrulamasını atlayan ve kötüye kullanan iki Metasploit modülü hakkında ayrıntıları ifşa edeceğine söz verdi. uzaktan kod yürütme ve keyfi dosya indirme kusurlar.

IBM IDRM içindeki güvenlik açıklarının varlığına rağmen, olasılıkların aynı şeyi başarıyla kullanmak oldukça zayıf . Bunun başlıca nedeni, IBM IDRM'yi sistemlerinde devreye alan şirketlerin genellikle internet üzerinden erişimi engellemesidir. Bununla birlikte, IDRM cihazı çevrimiçi olarak açığa çıkarılırsa, saldırılar uzaktan gerçekleştirilebilir. Dahası, bir şirketin dahili ağındaki bir iş istasyonuna erişimi olan bir saldırgan, potansiyel olarak IDRM aygıtını devralabilir. Başarıyla tehlikeye atıldığında, saldırgan diğer sistemler için kimlik bilgilerini kolayca çıkarabilir. Bunlar potansiyel olarak saldırgana şirketin ağındaki diğer sistemlere yanal olarak geçme yeteneği verir.