CVE-2025-55109 in Control-M
الملخص
بحسب VulDB • 03/07/2026
توجد ثغرة لتجاوز المصادقة في إصدارات Control-M/Agent من الإصدار 9.0.18 إلى 9.0.20، والتي لم تعد مدعومة، وربما في الإصدارات الأقدم غير المدعومة أيضاً عند استخدام مخزن مفاتيح kdb فارغ أو افتراضي، أو مخزن مفاتيح PKCS#12 افتراضي. يمكن لهجوم عن بعد لديه الوصول إلى شهادة طرف ثالث موقعة أو شهادة تجريبية (demo certificate) للمصادقة على العميل أن يتجاوز الحاجة إلى شهادة موقعة من سلطة الشهادات التابعة للمنظمة أثناء المصادقة في Control-M/Agent.
يحتوي Control-M/Agent على شهادات ثابتة البرمجة (hardcoded certificates)، والتي يتم الاعتماد عليها فقط كحل بديل احتياطي عند استخدام مخزن مفاتيح kdb فارغ؛ ولا تتم الثقة بها أبداً إذا تم استخدام مخزن مفاتيح PKCS#12. جميع هذه الشهادات منتهية الصلاحية الآن.
بالإضافة إلى ذلك، تحتوي ملفات تخزين المفاتيح الافتراضية في Control-M/Agent لكلٍ من kdb وPKCS#12 على شهادات طرف ثالث موثوقة (سلطات إصدار شهادات خارجية معترف بها وشهادات تجريبية ذات توقيع ذاتي افتراضية) والتي يتم الاعتماد عليها للمصادقة على العميل.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.