CVE-2016-9977
WysokieStreszczenie
IBM Maximo Asset Management w wersjach 7.1, 7.5 i 7.6 może pozwolić zdalnemu atakującemu na przejęcie sesji użytkownika z powodu braku unieważnienia istniejącego identyfikatora sesji. Atakujący może wykorzystać tę podatność, aby uzyskać dostęp do sesji innego użytkownika.
Ocena ryzyka
Przejęcie sesji użytkownika może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i operacji w systemie, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację IBM Maximo Asset Management do najnowszej wersji oraz wdrożenie mechanizmów unieważniania identyfikatorów sesji po zakończeniu ich użycia.
Inne podatności w IBM Maximo Asset Management
Zobacz wszystkie- CVE-2016-9984Wysokie
IBM Maximo Asset Management w wersjach 7.5 i 7.6 może pozwolić zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń na systemie jako administrator.
- CVE-2016-9976Wysokie
IBM Maximo Asset Management w wersjach 7.1, 7.5 i 7.6 może pozwolić zdalnemu atakującemu na dołączenie dowolnych plików. Atakujący może wysłać specjalnie przygotowane żądanie URL, co może umożliwić wykonanie dowolnego kodu na podatnym serwerze.
- CVE-2017-1175Krytyczne
IBM Maximo Asset Management w wersjach 7.1, 7.5 i 7.6 jest podatny na atak typu SQL injection. Zdalny atakujący może wysłać specjalnie przygotowane zapytania SQL, co może umożliwić mu przeglądanie, dodawanie, modyfikowanie lub usuwanie informacji w bazie danych.
Oryginalny opis (angielski, źródło NVD)
IBM Maximo Asset Management 7.1, 7.5, and 7.6 could allow a remote attacker to hijack a user's session, caused by the failure to invalidate an existing session identifier. An attacker could exploit this vulnerability to gain access to another user's session. IBM X-Force ID: 120253.