Podatności IBM API Connect

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na podatność Server-Side Request Forgery (SSRF) z powodu niewystarczającej walidacji adresów dostarczanych przez użytkownika. Serwer może być zmuszony do wysyłania żądań do niezamierzonych miejsc i zwracania wyników, co pozwala zdalnemu uwierzytelnionemu atakującemu uzyskać poufne informacje.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą walidację odwołań zewnętrznych. Podczas walidacji schematów odwołania do zasobów zewnętrznych nie są wystarczająco ograniczone, co może pozwolić serwerowi na pobranie treści, do których nie powinien mieć dostępu, umożliwiając zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą walidację informacji dostarczanych przez klienta. Kontekst tenanta nie jest wystarczająco weryfikowany, co może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonywanie nieautoryzowanych operacji w środowiskach innych tenantów.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma złamane uwierzytelnianie na poziomie obiektów (BOLA). Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do uzyskania dostępu do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera błąd kontroli dostępu na poziomie obiektów (BOLA). Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji należących do innych obiektów.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na podatność Server-Side Request Forgery (SSRF). Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do uzyskania poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nie ogranicza nadmiernej liczby prób uwierzytelnienia. Zdalny atakujący może przeprowadzać nieuwierzytelnione ataki brute-force w celu uzyskania prawidłowych poświadczeń.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 pozwala uwierzytelnionemu zdalnemu atakującemu wywołać odmowę usługi poprzez niekontrolowane zużycie zasobów. Niektóre żądania mogą zatrzymać wewnętrzne przetwarzanie i uczynić usługę niedostępną.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nie weryfikuje uprawnień do wykonywania operacji na docelowych zasobach. Uwierzytelniony zdalny atakujący może wykonywać nieautoryzowane działania i uzyskiwać poufne informacje, w tym usuwać klucze API innych użytkowników.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma nieprawidłową kontrolę autoryzacji. Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma nieprawidłową kontrolę uwierzytelniania. Zdalny atakujący może ominąć ograniczenia bezpieczeństwa, ponieważ sprawdzenia uwierzytelniania nie są stosowane konsekwentnie.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nieprawidłowo waliduje parametry ścieżki żądania. Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji innych dzierżawców.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na podatność server-side request forgery (SSRF). Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nie stosuje kontroli autoryzacji przy rozwiązywaniu niektórych adresów URL organizacji. Uwierzytelniony zdalny atakujący może uzyskać dostęp do informacji należących do innych.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nieprawidłowo waliduje adresy URL podawane przez użytkownika. Uwierzytelniony zdalny atakujący może uzyskać informacje o wewnętrznych usługach sieciowych.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nie neutralizuje prawidłowo specjalnych elementów w żądaniu. Zdalny atakujący może ominąć zabezpieczenia za pomocą specjalnie spreparowanych parametrów żądania.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ujawnia rozbieżność w odpowiedziach serwera. Zdalny atakujący może wykorzystać tę obserwowalną różnicę do uzyskania poufnych informacji.

Podatność typu path traversal w IBM API Connect pozwala zdalnemu uwierzytelnionemu atakującemu na uzyskanie dostępu do poufnych informacji. Problem występuje w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 jest podatny na Server-Side Request Forgery (SSRF). Ograniczenia dotyczące docelowych adresów żądań wychodzących można obejść, co pozwala serwerowi pobierać treści z niezamierzonych zasobów.

Niewystarczająca walidacja parametrów żądań w IBM API Connect pozwala zdalnemu uwierzytelnionemu atakującemu obejść ograniczenia bezpieczeństwa i uzyskać dostęp do nieautoryzowanych zapytań analitycznych. Problem dotyczy wersji 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2.

IBM API Connect zwraca zbyt szczegółowe komunikaty błędów, co pozwala zdalnemu uwierzytelnionemu atakującemu uzyskać poufne informacje o systemie. Problem dotyczy wersji 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2.

Podatność na wstrzyknięcie LDAP w IBM API Connect pozwala zdalnemu atakującemu obejść ograniczenia bezpieczeństwa. Problem dotyczy wersji 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2.

Nieprawidłowa konwersja typów w IBM API Connect pozwala zdalnemu uwierzytelnionemu atakującemu wywołać odmowę usługi. Błędna konwersja wartości między typami może powodować zwracanie nieprawidłowych odpowiedzi lub niedostępność usługi. Problem dotyczy wersji 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2.

Obserwowalne różnice w zachowaniu odpowiedzi w IBM API Connect pozwalają zdalnemu atakującemu na enumerację nazw użytkowników. Problem dotyczy wersji 12.1.0.0–12.1.1.2.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nie dostatecznie sanityzuje treści HTML dostarczane przez dostawcę przed wyświetleniem. Uwierzytelniony zdalny atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika (XSS).

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 nie dostatecznie ogranicza odwołania do zasobów zewnętrznych podczas importu definicji usług. Uwierzytelniony zdalny atakujący może wykorzystać SSRF, aby serwer żądał zasobów, do których nie powinien mieć dostępu.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 nieprawidłowo waliduje adresy URL dostarczane przez użytkownika. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do uzyskania poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nie dostatecznie weryfikuje informacje dostarczane przez klienta. Uwierzytelniony zdalny atakujący może obejść ograniczenia bezpieczeństwa i podszyć się pod inną stronę.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 umożliwia zdalnemu uwierzytelnionemu atakującemu fałszowanie informacji w dziennikach audytu z powodu polegania na niezaufanych danych wejściowych. Dane dostarczone przez klienta są wykorzystywane przy zapisie źródła żądania, przez co wpisy audytu mogą zawierać nieprawdziwe informacje.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych skryptów z powodu niewłaściwej neutralizacji danych kontrolowanych przez użytkownika.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 umożliwia zdalnemu uwierzytelnionemu atakującemu przeprowadzenie ataku cross-site scripting z powodu niewłaściwej neutralizacji danych dostarczonych przez użytkownika.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwej walidacji danych wejściowych.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wstrzyknięcie HTML z powodu niewłaściwej neutralizacji danych dostarczonych przez użytkownika.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma nieprawidłową kontrolę generowania kodu, przez co dane wejściowe użytkownika mogą wpływać na generowany kod. Może to prowadzić do zdalnego wykonania dowolnego kodu przez uwierzytelnionego atakującego.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych skryptów w wyniku cross-site scripting. Niektóre pola URL nie są wystarczająco walidowane, przez co złośliwa treść skryptu może zostać uruchomiona w sesji przeglądarki innego użytkownika.

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 umożliwia lokalnemu atakującemu uzyskanie poufnych informacji z powodu niewłaściwego stosowania kryptografii. Szyfrowanie przechowywanych danych nie jest wystarczająco silne, co osłabia ich ochronę.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 zawiera podatność typu insecure direct object reference (IDOR). Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji oraz doprowadzić do odmowy usługi (DoS).

IBM API Connect w wersjach 12.1.0.0–12.1.1.2 umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji z powodu umieszczania danych wrażliwych w plikach dziennika.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie poufnych informacji oraz spowodowanie odmowy usługi z powodu generowania komunikatów błędów zawierających dane wrażliwe.

IBM API Connect w wersjach 10.0.8.0 do 10.0.8.12 oraz 12.1.0.0 do 12.1.1.2 ma podatność broken object-level authorization. Uwierzytelniony zdalny atakujący może uzyskać poufne informacje należące do innych dzierżawców (tenantów).

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 jest podatny na server-side request forgery (SSRF). Uwierzytelniony zdalny atakujący może dzięki temu uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 umożliwia zdalnemu atakującemu uzyskanie poufnych informacji z powodu zbyt szczegółowych komunikatów błędów.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 niewłaściwie obsługuje wielkość liter, przez co ograniczenia dostępu nie są stosowane spójnie do wszystkich wariantów danych wejściowych. Uwierzytelniony zdalny atakujący może obejść zabezpieczenia i wysłać nieautoryzowane wiadomości e-mail.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na podatność Server-Side Request Forgery (SSRF). Uwierzytelniony zdalny atakujący może dzięki temu uzyskać dostęp do wewnętrznych zasobów sieciowych.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera podatność typu Insecure Direct Object Reference (IDOR). Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nie neutralizuje prawidłowo separatorów argumentów. Znaki specjalne w danych wejściowych użytkownika nie są bezpiecznie obsługiwane, co może pozwolić na dodanie dodatkowych parametrów do żądania wysyłanego przez serwer.

IBM API Connect w wersjach 10.0.8.0 do 10.0.8.12 oraz 12.1.0.0 do 12.1.1.2 jest podatny na server-side request forgery (SSRF). Uwierzytelniony zdalny atakujący może uzyskać poufne informacje.

IBM API Connect w wersjach 10.0.8.0 do 10.0.8.12 oraz 12.1.0.0 do 12.1.1.2 zawiera podatność path traversal. Uwierzytelniony zdalny atakujący może uzyskać dostęp do poufnych informacji.

IBM API Connect w wersjach 12.1.0.0 do 12.1.1.2 ma podatność typu injection. Dane wejściowe używane do budowy zapytania nie są prawidłowo neutralizowane, co może pozwolić na zwrócenie danych, do których użytkownik nie ma uprawnień.

IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na path traversal. Zdalny atakujący może przeglądać dowolne pliki w systemie, uzyskując dostęp do katalogów poza zamierzonym miejscem za pomocą specjalnie spreparowanego żądania URL.