CVE-2025-3355
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
IBM Tivoli Monitoring w wersjach od 6.3.0.7 do 6.3.0.7 Service Pack 21 może pozwolić zdalnemu atakującemu na przechodzenie przez katalogi w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje "dot dot" (/../) w celu przeglądania dowolnych plików w systemie.
Ocena ryzyka
Zdalny atakujący może uzyskać dostęp do poufnych plików w systemie, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaktualizuj IBM Tivoli Monitoring do wersji nowszej niż 6.3.0.7 Service Pack 21. Wdróż walidację danych wejściowych i ogranicz dostęp do systemu z niezaufanych sieci.
Inne podatności w IBM Tivoli Monitoring
Zobacz wszystkie- CVE-2015-5003Wysokie
Portal w IBM Tivoli Monitoring (ITM) w wersjach 6.2.2 do FP9, 6.2.3 do FP5 oraz 6.3.0 przed FP7 umożliwia zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń poprzez wykorzystanie uprawnień widoku Take Action i dostarczenie odpowiednio przygotowanego wejścia.
- CVE-2014-6141Wysokie
IBM Tivoli Monitoring (ITM) w wersjach 6.2.0 do FP03, 6.2.1 do FP04, 6.2.2 do FP09, 6.2.3 do FP05 oraz 6.3.0 przed FP04 umożliwia zdalnym uwierzytelnionym użytkownikom ominięcie zamierzonych ograniczeń dostępu i wykonanie dowolnych poleceń poprzez wykorzystanie uprawnień widoku Take Action do modyfikacji poleceń w toku.
- CVE-2025-3356Wysokie
IBM Tivoli Monitoring w wersjach 6.3.0.7 do 6.3.0.7 Service Pack 21 umożliwia zdalnemu atakującemu przeglądanie katalogów w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” (/../) w celu przeglądania, nadpisywania lub dopisywania danych do dowolnych plików w systemie.
Oryginalny opis (angielski, źródło NVD)
IBM Tivoli Monitoring 6.3.0.7 through 6.3.0.7 Service Pack 21 could allow a remote attacker to traverse directories on the system. An attacker could send a specially crafted URL request containing "dot dot" sequences (/../) to view arbitrary files on the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS