Le Spectrum Protect Plus d’IBM concerné par 2 vulnérabilités

IBM a publié des correctifs pour les vulnérabilités de Spectrum Protect Plus, l’outil de sécurité sous l’égide de la marque de son logiciel de stockage de données Spectrum. Les failles peuvent être exploitées par des attaquants distants pour exécuter du code sur des systèmes vulnérables.

Le Spectrum Protect Plus d’IBM est une solution de protection des données qui fournit une restauration, une réplication, une réutilisation et un libre-service quasi-instantanés pour les machines virtuelles. Les vulnérabilités (CVE-2020-4703 et CVE-2020-4711) affectent les versions 10.1.0 à 10.1.6 du Spectrum Protect Plus d’IBM.

ibm

La plus grave des deux failles (CVE-2020-4703) se trouve dans la console d’administration du Spectrum Protect Plus d’IBM et pourrait permettre à un attaquant authentifié de télécharger des fichiers arbitraires qui pourraient ensuite être utilisés pour exécuter du code arbitraire sur le serveur vulnérable, selon les chercheurs de Tenable qui ont découvert les failles. La faille a une note de 8 sur 10 sur l’échelle CVSS, ce qui le rend très grave.

Cette vulnérabilité est due à un correctif incomplet pour CVE-2020-4470, une faille de haute gravité qui avait été précédemment révélée en Juin. L’exploit de CVE-2020-4470 implique deux opérations, ont déclaré les chercheurs de Tenable: «La première opération consiste à télécharger un package RPM malveillant dans un répertoire accessible en écriture par le compte administrateur en envoyant un message HTTP POST au point de terminaison URL https://:8090/api/plugin », ont-ils dit. «La deuxième opération consiste à installer le RPM malveillant en envoyant un message HTTP POST au point de terminaison d’URL http://:8090/emi/api/hotfix.»

Mais le correctif d’IBM pour CVE-2020-4470 a seulement résolu la deuxième opération en appliquant l’authentification pour le point de terminaison /emi/api/hotfix. Les chercheurs ont découvert qu’il était toujours possible de télécharger des fichiers arbitraires non authentifiés dans un répertoire accessible en écriture par le compte administrateur, sous lequel les gestionnaires de points de terminaison s’exécutent – ouvrant la voie à l’exécution de code sur les systèmes vulnérables.

“L’attaquant peut placer du contenu malveillant (c’est-à-dire des scriptlets) dans le RPM et émettre une commande‘ sudo /bin/rpm -ivh /tmp/<uploaded_malicious_rpm> ’ sur le shell, obtenant ainsi une exécution de code à distance non authentifiée en tant que root», ont déclaré les chercheurs.

La deuxième faille, CVE-2020-4711, se trouve dans un script (/opt/ECX/tools/scripts/restore_wrapper.sh) dans Spectrum Protect Plus. Une vérification de chemin de répertoire dans cette fonction peut être contournée via une traversée de chemin. Un attaquant distant non authentifié peut exploiter ce problème en envoyant une requête HTTP spécialement conçue à un point de terminaison URL spécial (https://:8090/catalogmanager/api/catalog), ont déclaré les chercheurs de Tenable.

Ce point de terminaison ne nécessite aucune authentification (lorsque le paramètre cmode est la méthode restorefromjob). Lorsque la requête a été envoyée, le gestionnaire de point de terminaison appelle à la place une méthode (com.catalogic.ecx.catalogmanager.domain.CatalogManagerServiceImpl.restoreFromJob) sans vérifier les informations d’identification de l’utilisateur. La méthode restoreFromJob exécute ensuite le script /opt/ECX/tools/scripts/restore_wrapper.sh en tant que root – permettant à l’attaquant d’afficher des fichiers arbitraires sur le système.

spectrum protect plus

Les chercheurs de Tenable ont découvert les failles de Spectrum Protect Plus le 31 juillet et les ont signalées à IBM le 18 août. IBM a déployé les correctifs et un avis révélant les failles le 14 Septembre.

Spectrum Protect Plus n’est pas seul

Ces derniers mois, divers produits IBM se sont avérés présenter des failles de sécurité. En Août, une faille de mémoire partagée a été découverte dans le logiciel de gestion de données de nouvelle génération d’IBM qui, selon les chercheurs, pourrait entraîner d’autres menaces – comme l’a démontré un nouvel exploit de la faille de sécurité.

Et en Avril, 4 failles de sécurité graves dans le Data Risk Manager (IDRM) d’IBM ont été identifiées, pouvant conduire à l’exécution de code à distance non authentifié en tant que root dans les versions vulnérables, selon l’analyse, un exploit est aussi disponible.

S’abonner
Notifier de
guest
0 Commentaires
Inline Feedbacks
View all comments
0
Would love your thoughts, please comment.x
()
x