IBM Security Identity Manager 6.0/7.0 Credentials erweiterte Rechte

eintrageditHistoryDiffjsonxmlCTI
CVSS Meta Temp Score
Aktueller Exploitpreis (≈)
CTI Interest Score
5.5$0-$5k0.00

Es wurde eine Schwachstelle in IBM Security Identity Manager 6.0/7.0 (Access Management Software) gefunden. Sie wurde als problematisch eingestuft. Es geht dabei um ein unbekannter Teil. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (Credentials) ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-255 vorgenommen. Das hat Auswirkungen auf die Vertraulichkeit.

Entdeckt wurde das Problem am 21.09.2017. Die Schwachstelle wurde am 25.09.2017 durch Ron Craig, Warren Moynihan, Jonathan Fitz-Gerald, John Zuccato, Rodney Ryan, Chris Shepherd und Dmitriy Beryoza. (ryan) (Website) publik gemacht. Das Advisory kann von ibm.com heruntergeladen werden. Die Verwundbarkeit wird seit dem 30.11.2016 unter CVE-2017-1362 geführt. Der Angriff hat dabei lokal zu erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 14.01.2021). Es kann davon ausgegangen werden, dass sich die Exploit-Preise für dieses Produkt in Zukunft steigend verhalten werden.

Insgesamt wurde die Schwachstelle mindestens 4 Tage als nicht öffentlicher Zero-Day gehandelt. Während dieser Zeit erzielte er wohl etwa $5k-$25k auf dem Schwarzmarkt.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Mitunter wird der Fehler auch in den Datenbanken von SecurityFocus (BID 100965) und X-Force (126801) dokumentiert.

Produktinfoedit

Typ

Hersteller

Name

CPE 2.3infoedit

CPE 2.2infoedit

CVSSv3infoedit

VulDB Meta Base Score: 5.5
VulDB Meta Temp Score: 5.5

VulDB Base Score: 3.3
VulDB Temp Score: 3.3
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 7.8
NVD Vector: 🔍

CVSSv2infoedit

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VectorComplexityAuthenticationConfidentialityIntegrityAvailability
unlockunlockunlockunlockunlockunlock
unlockunlockunlockunlockunlockunlock
unlockunlockunlockunlockunlockunlock

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfoedit

Name: Credentials
Klasse: Erweiterte Rechte / Credentials
CWE: CWE-255
ATT&CK: Unbekannt

Lokal: Ja
Remote: Nein

Verfügbarkeit: 🔍
Status: Nicht definiert

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayunlockunlockunlockunlock
Heuteunlockunlockunlockunlock

Threat Intelligenceinfoedit

Bedrohungslage: 🔍
Gegner: 🔍
Geopolitik: 🔍
Ökonomie: 🔍
Voraussagen: 🔍
Massnahmen: 🔍

Gegenmassnahmeninfoedit

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔍

Timelineinfoedit

30.11.2016 🔍
21.09.2017 +295 Tage 🔍
21.09.2017 +0 Tage 🔍
25.09.2017 +4 Tage 🔍
25.09.2017 +0 Tage 🔍
26.09.2017 +1 Tage 🔍
14.01.2021 +1206 Tage 🔍

Quelleninfoedit

Hersteller: https://www.ibm.com/

Advisory: ibm.com
Person: Ron Craig/Warren Moynihan/Jonathan Fitz-Gerald/John Zuccato/Rodney Ryan/Chris Shepherd/Dmitriy Beryoza. (ryan)
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2017-1362 (🔍)
SecurityFocus: 100965 - IBM Security Identity Adapter CVE-2017-1362 Local Information Disclosure Vulnerability
X-Force: 126801

Eintraginfoedit

Erstellt: 26.09.2017 09:26
Aktualisierung: 14.01.2021 12:43
Anpassungen: (1) advisory_person_name
Komplett: 🔍

Kommentare

Bisher keine Kommentare. Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!