CVE-2015-5010
WysokieStreszczenie
IBM Security Access Manager for Web w wersjach 7.0 przed 7.0.0 IF21, 8.0 przed 8.0.1.3 IF4 oraz 9.0 przed 9.0.0.1 IF1 nie posiada mechanizmu blokady dla nieprawidłowych prób logowania, co ułatwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.
Ocena ryzyka
Brak mechanizmu blokady zwiększa ryzyko udanego ataku brute-force, co może prowadzić do nieautoryzowanego dostępu do systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania, która wprowadza mechanizm blokady dla nieprawidłowych prób logowania.
Inne podatności w IBM Security Access Manager for Web
Zobacz wszystkie- CVE-2016-5919Wysokie
IBM Security Access Manager for Web w wersjach 7.0.0, 8.0.0 i 9.0.0 wykorzystuje słabsze niż oczekiwano algorytmy kryptograficzne, co może umożliwić atakującemu odszyfrowanie wysoce wrażliwych informacji.
- CVE-2016-3029Wysokie
IBM Security Access Manager for Web jest podatny na atak typu cross-site request forgery, co może pozwolić napastnikowi na wykonanie złośliwych i nieautoryzowanych działań przesyłanych od zaufanego użytkownika witryny.
- CVE-2016-3017Wysokie
IBM Security Access Manager for Web może umożliwić zdalnemu atakującemu uzyskanie poufnych informacji z powodu błędnych konfiguracji zabezpieczeń.
- CVE-2015-5012Wysokie
Implementacja SSH w IBM Security Access Manager for Web przed wersją 7.0.0 FP19, 8.0 przed 8.0.1.3 IF3 oraz 9.0 przed 9.0.0.0 IF1 nie ogranicza prawidłowo zestawu algorytmów MAC, co ułatwia zdalnym atakującym pokonanie mechanizmów ochrony kryptograficznej.
- CVE-2015-4963Wysokie
IBM Security Access Manager for Web w wersjach 7.x przed 7.0.0.16 oraz 8.x przed 8.0.1.3 niewłaściwie obsługuje żądania HTTPTransformation WebSEAL, co pozwala zdalnym atakującym na odczyt lub zapis do dowolnych plików.
Oryginalny opis (angielski, źródło NVD)
IBM Security Access Manager for Web 7.0 before 7.0.0 IF21, 8.0 before 8.0.1.3 IF4, and 9.0 before 9.0.0.1 IF1 does not have a lockout mechanism for invalid login attempts, which makes it easier for remote attackers to obtain access via a brute-force attack.