CVE-2025-3356
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
IBM Tivoli Monitoring w wersjach 6.3.0.7 do 6.3.0.7 Service Pack 21 umożliwia zdalnemu atakującemu przeglądanie katalogów w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” (/../) w celu przeglądania, nadpisywania lub dopisywania danych do dowolnych plików w systemie.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do plików systemowych, ich modyfikację lub uszkodzenie, co może prowadzić do naruszenia integralności danych i przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez IBM oraz ograniczenie dostępu do aplikacji tylko dla zaufanych użytkowników i sieci.
Inne podatności w IBM Tivoli Monitoring
Zobacz wszystkie- CVE-2015-5003Wysokie
Portal w IBM Tivoli Monitoring (ITM) w wersjach 6.2.2 do FP9, 6.2.3 do FP5 oraz 6.3.0 przed FP7 umożliwia zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń poprzez wykorzystanie uprawnień widoku Take Action i dostarczenie odpowiednio przygotowanego wejścia.
- CVE-2014-6141Wysokie
IBM Tivoli Monitoring (ITM) w wersjach 6.2.0 do FP03, 6.2.1 do FP04, 6.2.2 do FP09, 6.2.3 do FP05 oraz 6.3.0 przed FP04 umożliwia zdalnym uwierzytelnionym użytkownikom ominięcie zamierzonych ograniczeń dostępu i wykonanie dowolnych poleceń poprzez wykorzystanie uprawnień widoku Take Action do modyfikacji poleceń w toku.
- CVE-2025-3355Wysokie
IBM Tivoli Monitoring w wersjach od 6.3.0.7 do 6.3.0.7 Service Pack 21 może pozwolić zdalnemu atakującemu na przechodzenie przez katalogi w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje "dot dot" (/../) w celu przeglądania dowolnych plików w systemie.
Oryginalny opis (angielski, źródło NVD)
IBM Tivoli Monitoring 6.3.0.7 through 6.3.0.7 Service Pack 21 could allow a remote attacker to traverse directories on the system. An attacker could send a specially crafted URL request containing "dot dot" sequences (/../) to view, overwrite, or append to arbitrary files on the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS