Podatności IBM API Connect

IBM API Connect w wersji 5.0.6.0 jest podatny na atak typu XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.

IBM API Connect w wersji 5.0.0.0 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu niewłaściwego przetwarzania żądań do Portalu Dewelopera.

IBM API Connect w wersji 5.0.6.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń na systemie, z powodu niewłaściwej walidacji adresów URL w Portalu Dewelopera. Atakujący może wykorzystać tę podatność, tworząc złośliwy adres URL.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewystarczającą weryfikację tożsamości przekazywanej w żądaniach. Zdalny atakujący może podszyć się pod innego użytkownika, uzyskać dostęp do poufnych informacji i modyfikować konfiguracje API.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na server-side request forgery (SSRF). Podatny komponent może być zmuszony do wysyłania żądań do niezamierzonych miejsc i zwracania odpowiedzi atakującemu.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na atak Regular Expression Denial of Service (ReDoS) oraz na niewłaściwą neutralizację operatorów zapytań z symbolami wieloznacznymi.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą neutralizację separatorów argumentów. Zdalny uwierzytelniony atakujący może uzyskać dostęp do danych portalu innych dzierżawców i je modyfikować.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą obsługę wielkości liter w żądaniach. Kontrole dostępu nie są stosowane spójnie do wszystkich wariantów żądania, co może umożliwić zdalnemu atakującemu wykonanie nieautoryzowanych operacji administracyjnych i uzyskanie poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą neutralizację specjalnych elementów w poleceniach systemu operacyjnego. Zdalny atakujący może wykonać dowolny kod.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 używa zaszytych na stałe poświadczeń. Zdalny atakujący może uzyskać pełną kontrolę administracyjną nad systemem.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na wstrzyknięcie poleceń systemu operacyjnego. Dane wejściowe użytkownika nie są właściwie neutralizowane przed przekazaniem do systemu operacyjnego, co może pozwolić na uruchomienie poleceń na hoście.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewystarczającą walidację przesyłanych treści. Zdalny uwierzytelniony atakujący może wykonać dowolny kod, ponieważ przesłana zawartość nie jest wystarczająco sprawdzana przed przetworzeniem.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na wstrzyknięcie SQL. Zdalny uwierzytelniony atakujący może uzyskać dostęp do poufnych informacji.

Podatność w IBM API Connect pozwala uwierzytelnionemu zdalnemu atakującemu na uzyskanie dostępu do poufnych informacji poprzez nieprawidłową kontrolę modyfikacji atrybutów obiektów. Wartość dostarczona przez użytkownika może zmienić ustawienie związane z kontrolą dostępu, które powinno być zarządzane przez system.

Podatność typu LDAP injection w IBM API Connect pozwala uwierzytelnionemu zdalnemu atakującemu na uzyskanie nieautoryzowanego dostępu administracyjnego do innych tenantów. Dane wejściowe użytkownika nie są prawidłowo neutralizowane w zapytaniach do katalogu, co może zmienić zapytanie i przyznać dostęp poza własnym tenantem.

IBM API Connect zawiera zaszyte na stałe poświadczenia, co pozwala zdalnemu atakującemu na uzyskanie pełnej kontroli administracyjnej nad systemem. Poświadczenia wbudowane w produkt mogą zostać wykorzystane bez konieczności uwierzytelnienia.

Podatność w IBM API Connect wynika z nieprawidłowej kontroli generowania kodu i pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu. Wartość dostarczona przez użytkownika może wpłynąć na kod generowany przez produkt.

Podatność typu path traversal w IBM API Connect pozwala uwierzytelnionemu zdalnemu atakującemu na wykonywanie dowolnych zapisów do plików. Atakujący może manipulować ścieżkami, aby zapisywać dane poza dozwolonymi lokalizacjami.

Podatność typu server-side request forgery w IBM API Connect pozwala uwierzytelnionemu zdalnemu atakującemu na uzyskanie poufnych informacji i obejście ograniczeń bezpieczeństwa. Serwer może być zmuszony do wysyłania żądań do nieoczekiwanych miejsc.

Podatność typu server-side request forgery w IBM API Connect pozwala zdalnemu atakującemu na uzyskanie poufnych informacji. Usługa dostępna bez uwierzytelnienia może zostać zmuszona do wysyłania żądań do nieoczekiwanych miejsc.

Podatność w IBM API Connect wynika z nieprawidłowej kontroli generowania kodu i pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu. Wartość dostarczona przez użytkownika może wpłynąć na generowany kod.

Podatność typu path traversal w IBM API Connect pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Manipulacja ścieżkami może umożliwić dostęp do plików lub zasobów poza dozwolonymi lokalizacjami.

Podatność typu path traversal w IBM API Connect pozwala uwierzytelnionemu zdalnemu atakującemu na dostęp do zasobów innych tenantów lub ich usunięcie. Manipulacja ścieżkami może umożliwić operacje poza własnym tenantem.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera błąd kontroli dostępu na poziomie obiektów (BOLA), który umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 nie neutralizuje prawidłowo znaków specjalnych w zapytaniach SQL, co umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń SQL.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 nieprawidłowo waliduje adresy URL punktów końcowych, co umożliwia zdalnemu atakującemu uzyskanie dostępu do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 pozwala zdalnemu atakującemu obejść uwierzytelnianie poprzez alternatywną ścieżkę, co umożliwia uzyskanie poufnych informacji i przejęcie kontroli nad konfiguracją bramy.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nieprawidłowo weryfikuje podpis kryptograficzny, co umożliwia nieuwierzytelnionemu atakującemu obejście uwierzytelniania.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nie ogranicza wystarczająco rozwiązywania zewnętrznych referencji, co umożliwia zdalnemu uwierzytelnionemu atakującemu dowolny odczyt plików oraz SSRF, a pobrana treść może zostać zwrócona atakującemu.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na podatność Server-Side Request Forgery (SSRF), co umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera podatność otwartego przekierowania — adres przekierowania używany podczas logowania nie jest wystarczająco walidowany, co umożliwia zdalnemu atakującemu przejęcie konta.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na Server-Side Request Forgery (SSRF), co umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niekompletne kontrole dostępu do obiektów organizacji (BOLA), co umożliwia zdalnemu uwierzytelnionemu atakującemu przejęcie własności innych organizacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera błąd niewłaściwego uwierzytelniania, który może umożliwić zdalnemu atakującemu nieautoryzowany dostęp do wrażliwych danych katalogu API i konfiguracji środowiska uruchomieniowego. Dane dostarczone przez klienta nie są wystarczająco weryfikowane, co pozwala wywołującemu podszyć się pod zaufaną stronę.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera podatność typu path traversal, która może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu. Wykorzystanie podatności pozwala na manipulację ścieżkami dostępu do plików.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera błąd niewłaściwego uwierzytelniania, który może umożliwić zdalnemu uwierzytelnionemu atakującemu podniesienie uprawnień. Luka wynika z nieprawidłowej weryfikacji tożsamości.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera lukę niewystarczającej walidacji danych wejściowych, która może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu i dostęp do wrażliwych informacji innych dzierżawców. Przesyłana zawartość niestandardowych modułów nie jest wystarczająco walidowana przed przetworzeniem.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera podatność typu path traversal, która może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu i przeprowadzenie nieautoryzowanych działań administracyjnych.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera lukę niewłaściwej walidacji danych wejściowych, która może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript i uzyskanie wrażliwych informacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera podatność SQL injection, która może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń SQL.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera lukę niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL, która może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń SQL.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera podatność server-side request forgery (SSRF), która może umożliwić zdalnemu atakującemu uzyskanie wrażliwych informacji. Ograniczenia żądań wychodzących mogą zostać obejściem, co pozwala serwerowi na kontakt z niezamierzonymi celami i zwrócenie odpowiedzi.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera lukę niewłaściwej kontroli modyfikacji atrybutów obiektów, która może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu. Użytkownik może ustawić pole, które powinno być kontrolowane wyłącznie przez system.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma brak kontroli autoryzacji, co pozwala uwierzytelnionemu zdalnemu atakującemu uzyskać poufne informacje oraz modyfikować lub usuwać dane należące do innych dzierżawców.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 umożliwia obejście autoryzacji poprzez klucze kontrolowane przez użytkownika, co pozwala uwierzytelnionemu zdalnemu atakującemu uzyskać poufne informacje i modyfikować dowolne dokumenty.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera podatność typu confused deputy, która pozwala uwierzytelnionemu zdalnemu atakującemu obejść ograniczenia bezpieczeństwa.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na server-side request forgery, co pozwala zdalnemu atakującemu uzyskać dostęp do zasobów sieci wewnętrznej.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 jest podatny na wstrzyknięcie zewnętrznych encji XML (XXE), co pozwala zdalnemu atakującemu uzyskać poufne informacje.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą autoryzację, ponieważ uwierzytelnianie wobec podłączonej usługi katalogowej nie jest wystarczająco wymuszane, co pozwala zdalnemu atakującemu uzyskać ważne tokeny dostępu innych użytkowników i podszyć się pod ich tożsamość.

IBM API Connect w wersjach od 12.1.0.0 do 12.1.1.2 może pozwolić zdalnemu atakującemu na tworzenie, modyfikowanie lub usuwanie tenantów z powodu braku autoryzacji.