Katalog podatności CVE

IBM Business Automation Workflow (kontenery i instalacja tradycyjna) zawiera brak kontroli autoryzacji, który pozwala uwierzytelnionemu atakującemu wywołać zastrzeżone akcje importu. Luka wynika z nieodpowiedniego egzekwowania uprawnień przy operacjach importu.

IBM MQ w wersjach 9.1.0.0 do 9.1.0.37 LTS, 9.2.0.0 do 9.2.0.43 LTS, 9.3.0.0 do 9.3.0.41 LTS, 9.3.0.0 do 9.3.5.1 CD, 9.4.0.0 do 9.4.0.25 LTS, 9.4.0.0 do 9.4.5.1 CD oraz 10.0.0.0 zawiera lukę deserializacji niezaufanych danych. Uwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.

IBM MQ w wersjach 9.1, 9.2, 9.3, 9.4 oraz 10.0 zawiera podatność związaną z nieprawidłową obsługą zewnętrznych encji XML podczas przetwarzania folderów RFH2. Uwierzytelniony atakujący może odczytać pliki z podatnego klienta .NET lub wywołać ograniczoną odmowę usługi.

IBM MQ w wersjach 9.1, 9.2, 9.3, 9.4 oraz 10.0 (Classes for Java) zawiera podatność typu XML External Entity Injection w przetwarzaniu nagłówka MQRFH2. Uwierzytelniony atakujący może uzyskać dostęp do poufnych informacji lub wywołać odmowę usługi.

IBM Verify Identity Access zawiera podatność wynikającą z niewystarczającej walidacji zasobów przychodzących żądań. Zdalny atakujący może wywołać odmowę usługi.

IBM MQ w wersjach 9.1, 9.2, 9.3, 9.4 oraz 10.0 zawiera podatność wynikającą z niewystarczającej walidacji danych wejściowych, umożliwiającą ataki JNDI injection. Może to prowadzić do ujawnienia informacji lub zdalnego wykonania kodu.

IBM MQ w wersjach 9.1, 9.2, 9.3, 9.4 oraz 10.0 zawiera podatność wynikającą z nieprawidłowej walidacji nazw JNDI w aplikacji Resource Adapter Installation Verification Test. Uwierzytelniony atakujący może wykonać dowolny kod na serwerze aplikacji.

IBM MQ w wersjach 9.3.0.0–9.3.0.41 LTS, 9.3.0.0–9.3.5.1 CD, 9.4.0.0–9.4.0.25 LTS, 9.4.0.0–9.4.5.1 LTS oraz 10.0.0.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niebezpiecznego przetwarzania wyszukiwania JNDI, gdy wdrożona jest aplikacja IVT.

IBM MQ w wersjach 9.1, 9.2, 9.3, 9.4 oraz 10.0 zawiera podatność wynikającą z nieprawidłowej walidacji głęboko zagnieżdżonych danych certyfikatu podczas przetwarzania certyfikatów TLS. Zdalny atakujący z zaufanym certyfikatem klienta TLS może wywołać odmowę usługi i potencjalnie wpłynąć na zawartość pamięci.

IBM Verify Identity Access może pozwolić administratorowi na wykonanie dodatkowych poleceń, do których nie jest uprawniony, z powodu nieprawidłowej walidacji żądań dostarczonych przez użytkownika.

IBM Verify Identity Access zawiera podatność wynikającą z nieprawidłowej walidacji danych wejściowych dostarczonych przez użytkownika. Administrator może wykonać dodatkowe polecenia, do których nie ma uprawnień.

IBM Security Verify Identity Access Reverse Proxy w niektórych konfiguracjach może zapewniać słabszą niż oczekiwano walidację kryptograficzną danych dostarczonych przez użytkownika.

IBM Verify Identity Access jest podatny na atak przepełnienia bufora.

Reverse proxy IBM Security Verify Identity Access może pozwalać na wstrzykiwanie parametrów do żądań kierowanych do usług stron trzecich.

IBM Verify Identity Access zawiera podatność wynikającą z niewystarczającej walidacji zasobów przychodzących żądań. Zdalny atakujący może wywołać odmowę usługi.

Kontenery IBM Verify Identity Access mogą nieprawidłowo stosować operacje zmiany hasła administratora.

IBM ContextForge MCP Gateway w wersji <= v1.0.4 pozwala uwierzytelnionemu użytkownikowi obejść mechanizmy ochronne z powodu niepełnej rekurencyjnej inspekcji zagnieżdżonej zawartości ładunków. Luka umożliwia ominięcie zabezpieczeń poprzez treści ukryte w zagnieżdżonych strukturach.

IBM Cloud Pak for Business Automation w wersjach 26.0.0 do 26.0.0 Interim Fix 001, 25.0.0 do 25.0.0 Interim Fix 005, 24.0.1 do 24.0.1 Interim Fix 008 oraz 24.0.0 do 24.0.0 Interim Fix 009 jest podatny na wstrzyknięcie XPath. Uwierzytelniony atakujący może dzięki temu wykraść poufne dane aplikacji i/lub ustalić strukturę dokumentu XML.

IBM MQ w wersjach 9.1, 9.2, 9.3, 9.4 oraz 10.0 zawiera podatność wynikającą z niebezpiecznej deserializacji, która umożliwia ataki JNDI injection. Uwierzytelniony atakujący może wykonać dowolny kod w aplikacjach klienckich.

Podatność przepełnienia bufora na stercie w IBM MQ występuje podczas odbierania wiadomości od złośliwego menedżera kolejek lub w wyniku ataku man-in-the-middle. Dotyczy wielu wersji LTS i CD, w tym 9.1, 9.2, 9.3, 9.4 oraz 10.0.0.0. Może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi lub potencjalne wykonanie dowolnego kodu w kliencie.