Podatności IBM API Connect

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera podatność SQL injection. Może to umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do wrażliwych informacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera podatność typu server-side request forgery (SSRF). Może to umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do wrażliwych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera błąd nieprawidłowego uwierzytelniania. Kontrole uwierzytelniania nie są wystarczająco odizolowane między tenantami, co może pozwolić użytkownikowi jednego tenanta na uzyskanie akceptacji przez inny.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera podatność typu server-side request forgery (SSRF). Może to umożliwić zdalnemu uwierzytelnionemu atakującemu dostęp do wewnętrznych usług sieciowych.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 wykorzystuje zaszyty na stałe klucz kryptograficzny. Może to umożliwić lokalnemu atakującemu uzyskanie dostępu do wrażliwych informacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera podatność typu server-side request forgery (SSRF). Kontrole docelowych adresów żądań wychodzących można obejść, co może pozwolić serwerowi na dotarcie do wewnętrznych systemów, które powinny być zablokowane.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera podatność typu server-side request forgery (SSRF), która umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji znaków specjalnych w poleceniach SQL, co umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewłaściwą kontrolę autoryzacji, co umożliwia zdalnemu uwierzytelnionemu atakującemu obejście sprawdzeń autoryzacji i dostęp lub modyfikację poufnych informacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 jest podatny na server-side request forgery z powodu niewłaściwej neutralizacji danych wejściowych od użytkownika, co umożliwia zdalnemu atakującemu przesyłanie nieautoryzowanych wiadomości e-mail.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewłaściwą walidację certyfikatów, co umożliwia zdalnemu uwierzytelnionemu atakującemu obejście uwierzytelniania. Sprawdzenie certyfikatu nie jest wiarygodnie wykonywane we wszystkich przypadkach, co może pozwolić na akceptację połączenia bez prawidłowego uwierzytelnienia.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 jest podatny na path traversal, co umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu. Ścieżki plików w przesyłanej zawartości nie są wystarczająco walidowane, co może pozwolić na zapis plików poza zamierzonym miejscem i wykonanie kodu.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewłaściwą autoryzację z użyciem kluczy kontrolowanych przez użytkownika, co umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą walidację certyfikatów, co umożliwia zdalnemu atakującemu obejście uwierzytelniania i wstrzyknięcie nieautoryzowanych zmian konfiguracji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewłaściwą walidację certyfikatów, co umożliwia zdalnemu atakującemu obejście ograniczeń bezpieczeństwa.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 umożliwia zdalnemu atakującemu odczyt dowolnych plików na serwerze z powodu zewnętrznej kontroli nazwy lub ścieżki pliku.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 jest podatny na atak typu server-side request forgery (SSRF). Uwierzytelniony zdalny atakujący może wykorzystać tę podatność do uzyskania dostępu do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 ma niekompletne sprawdzanie danych wejściowych, które można obejść. Uwierzytelniony zdalny atakujący może w ten sposób uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 jest podatny na atak typu server-side request forgery (SSRF). Uwierzytelniony zdalny atakujący może wykorzystać tę podatność do uzyskania dostępu do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0 do 10.0.8.12 oraz 12.1.0.0 do 12.1.1.2 ma nieprawidłową autoryzację. Uwierzytelniony zdalny atakujący może obejść ograniczenia bezpieczeństwa.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 nieprawidłowo waliduje adresy URL dostarczone przez użytkownika. Uwierzytelniony zdalny atakujący może w ten sposób uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 nie wymaga uwierzytelniania dla krytycznej funkcji. Zdalny atakujący może uzyskać dostęp do poufnych danych konfiguracyjnych i wykonywać nieautoryzowane działania.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 jest podatny na atak XML External Entity (XXE), który może umożliwić zdalnemu atakującemu uzyskanie dostępu do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zapisuje poufne informacje do plików logów, co może umożliwić lokalnemu atakującemu uzyskanie danych uwierzytelniających i przejęcie kont.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera podatność typu Insecure Direct Object Reference (IDOR), która może umożliwić zdalnemu uwierzytelnionemu atakującemu usunięcie lub nadpisanie dowolnych zasobów płaszczyzny sterowania.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 zawiera podatność typu Insecure Direct Object Reference (IDOR), która może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewłaściwą autoryzację opartą na danych dostarczonych przez klienta, co może umożliwić zdalnemu uwierzytelnionemu atakującemu modyfikację konfiguracji narzędzi i wywołanie odmowy usługi.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą autoryzację, która może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 jest podatny na atak typu server-side request forgery (SSRF). Uwierzytelniony zdalny atakujący może uzyskać dostęp do zasobów wewnętrznych i wywołać odmowę usługi.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewłaściwą walidację danych wejściowych dostarczanych przez użytkownika, co może umożliwić zdalnemu atakującemu przeprowadzenie ataku Server-Side Request Forgery (SSRF).

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 nieprawidłowo waliduje adresy URL dostarczane przez użytkownika. Zdalny atakujący może w ten sposób uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 jest podatny na server-side request forgery. Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 jest podatny na cross-site request forgery w procesie logowania. Przepływ logowania nie weryfikuje wystarczająco, czy odpowiedź logowania odpowiada żądaniu użytkownika, co może powiązać sesję ofiary z kontem kontrolowanym przez atakującego.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma złamaną autoryzację na poziomie obiektów (BOLA), co może umożliwić zdalnemu uwierzytelnionemu atakującemu modyfikację subskrypcji API aplikacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 wykorzystuje zaszyty na stałe klucz kryptograficzny. Zdalny atakujący może w ten sposób uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewłaściwą walidację certyfikatów, co może umożliwić zdalnemu atakującemu uzyskanie poufnych informacji i manipulację konfiguracją.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 nieprawidłowo weryfikuje certyfikaty. Zdalny atakujący może w ten sposób uzyskać poufne dane uwierzytelniające i manipulować odpowiedziami narzędzi.

IBM API Connect w wersjach 10.0.8.0 do 10.0.8.12 oraz 12.1.0.0 do 12.1.1.2 ma złamane uwierzytelnianie na poziomie obiektów. Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 jest podatny na server-side request forgery. Zdalny atakujący może uzyskać dostęp do poufnych informacji z zasobów sieci wewnętrznej.

IBM API Connect w wersjach 10.0.8.0 do 10.0.8.12 oraz 12.1.0.0 do 12.1.1.2 jest podatny na server-side request forgery. Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 nieprawidłowo waliduje dane wejściowe. Lokalizacje podawane podczas importu definicji usług nie są wystarczająco sprawdzane, co może pozwolić serwerowi na pobranie treści, do których nie powinien mieć dostępu.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nieprawidłowo waliduje adresy URL podawane przez użytkownika. Uwierzytelniony zdalny atakujący może zmusić serwer do łączenia się z zasobami sieci wewnętrznej.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 nieprawidłowo waliduje adresy URL podawane przez użytkownika. Uwierzytelniony zdalny atakujący może sondować wewnętrzne usługi sieciowe.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na path traversal, co może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na podatność Server-Side Request Forgery (SSRF). Uwierzytelniony zdalny atakujący może wykorzystać tę podatność do uzyskania dostępu do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma złamane uwierzytelnianie na poziomie obiektów (BOLA). Kontrole dostępu nie weryfikują, czy użytkownik ma prawo zmieniać docelowy profil, co pozwala zdalnemu uwierzytelnionemu atakującemu modyfikować dane profilu innych użytkowników.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera podatność open redirect w procesie logowania OAuth 2.0. Adres przekierowania nie jest wystarczająco walidowany, co może pozwolić zdalnemu uwierzytelnionemu atakującemu na przejęcie konta poprzez przekierowanie wyników uwierzytelniania do lokalizacji kontrolowanej przez atakującego.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą weryfikację podpisów kryptograficznych. Informacje tożsamości od dostawcy logowania są akceptowane bez pełnej weryfikacji podpisu, co pozwala zdalnemu uwierzytelnionemu atakującemu tworzyć nieautoryzowane konta użytkowników.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na podatność Server-Side Request Forgery (SSRF). Uwierzytelniony zdalny atakujący może wykorzystać tę podatność do uzyskania dostępu do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na podatność Server-Side Request Forgery (SSRF). Uwierzytelniony zdalny atakujący może wykorzystać tę podatność do uzyskania dostępu do poufnych informacji.