یک محقق امنیت سایبری، بطور عمومی PoC و اطلاعات فنی چهار مورد از آسیب‌پذیری zero-day و Patchنشده را، پس از آنکه شرکت IBM از تصدیق افشای مسئولانه خودداری کرد، فاش کرد. این آسیب‌پذیری‌ها، نرم‌افزار امنیتی ارائه‌شده توسط IBM را تحت تاثیر قرار می‌دهند.
محصول ممتاز مورد بحث IBM Data Risk Manager (IDRM) است که برای منابع اطلاعاتی کسب‌وکارهای حساس از یک سازمان و مشخص‌کردن ریسک‌های مرتبط است.
طبق گفته Pedro Ribeiro از موسسه تجاری Agile Information Security، نرم‌افزار امنیتی IBM Data Risk Manager دارای سه آسیب‌پذیری حساس و یک باگ بزرگ است که همگی در پایین لیست شده‌اند و می‌توانند مورد سواستفاده‌ی یک مهاجم غیرمجاز در شبکه باشند. همچنین این مشکلات اگر بطور زنجیروار بهم مرتبط شوند، می‌توانند اجرای کد از راه دور به عنوان Root را به دنبال داشته باشند.
- Authentication Bypass
- Command Injection
- رمز عبور پیش‌فرض ناامن
- دانلودکردن خودسرانه‌ی فایل
Ribeiro با موفقیت این نقص‌های IBM Data Risk Manager را در نسخههای 2.0.1 تا 2.0.3 امتحان کرد که آخرین نسخههای نرم‌افزار نیستند اما باورهایی مبنی بر اینکه در نسخههای 2.0.4 تا 2.0.6 نیز این ایرادات مخرب وجود دارد زیرا هیچ اشاره‌ای به اصلاح آسیب‌پذیری‌ها در هیچکدام از لاگ‌های تغییرات نشده است.
Ribeiro گفت «IDRM یک محصول امنیتی سازمانی است که به اطلاعات بسیار حساس رسیدگی می‌کند. اختلال در چنین محصولی می‌تواند منجر به اختلالی در مقیاس کامل یک شرکت منجر شود زیرا این ابزار در کنار دسترسی به اطلاعات حیاتی آسیب‌پذیر شرکت، دارای اعتبارات لازم برای دسترسی به ابزارهای امنیتی دیگر نیز هست.
آسیپ‌پذیری Zero-Day در IBM Data Risk Manager
بطور خلاصه، نقص Authentication Bypass، یک خطای منطقی در ویژگی Session ID است که امکان Reset کردن پسورد برای تمام اکانت‌های موجود، از جمله Administrator را فراهم می‌کند.
نقص امنیتی Command Injection در نرم‌افزار امنیت سازمانی IBM نهفته می‌ماند و به کاربران اجازه می‌دهد اسکن‌های شبکه را با استفاده از اسکریپت‌های Nmap اجرا کنند که ظاهرا می‌تواند توسط مهاجمان با فرمان‌های مخرب مرود سوءاستفاده قرار گیرد.
طبق افشای آسیب‌پذیری‌ها، برای SSH و اجرای فرمان‌های Sudo، ابزار مجازی IDRM دارای یک کاربر اجرایی Built-In با نمام کاربری a3user و رمز عبور پیش‌فرض idrm است که بدون تغییر باقی مانده و این امکان را به مهاجمان می‌دهد تا کنترل کامل سیستم هدف را تحت اختیار داشته باشند.
آخرین آسیب‌پذیری در یک API Endpoint قرار می‌گیرد و به کاربران احراز هویت شده این اجازه را می‌دهد تا فایل‌های Log را از سیستم دانلود کنند. با این حال، طبق یافته‌های این محقق، یکی از پارامترهای این Endpoint دارای یک نقص پیمایش دایرکتوری است که به کاربران مخرب اجازه‌ی دانلود هر فایلی را از سیستم می‌دهد.
درکنار اطلاعات فنی، این محقق دو ماژول Metasploit برای Authentications Bypass منتشر کرده است که شامل مشکلات اجرای کد از راه دور و دانلود خودسرانه‌ی فایل می‌شوند.
Ribeiro ادعا می‌کند که این مشکلات را از طریق CERT/CC به IBM گزارش داده و در پاسخ، شرکت از پذیرفتن گزارش آسیب‌پذیری خودداری کرده و گفته :«ما این گزارش را ارزیابی کرده و به این نتیجه رسیدیم که خارج از حوزه‌ی برنامه‌ی افشای آسیب‌پذیری‌هاست زیرا این محصول فقط برای پشتیبانی پیشرفته است که توسط مشتریان ما پرداخت می‌شود».
در پاسخ، Ribeiro گفت: «در هر صورت، من تقاضا و انتظار جایزه نداشتم زیرا دارای یک حساب HackerOne نیستم و با HackerOne یا شرایط افشای IBM موافق نیستم. من فقط خواستم تا با مسئولیت خود این موارد را برای IBM فاش کنم تا آنها مشکلات را برطرف کنند.»
سخن‌گوی IBM گفت:« یک خطای فرآیندی منجر به پاسخ نادرست به محققی شد که این شرایط را به IBM گزارش داد. ما طی جلسات مشاوره امنیتی بر روی گام‌هایی برای کاهش اثرات این نقص‌ها کار کرده‌ایم»
