کشف آسیب‌پذیری در IBM

آسیب‌پذیری بحرانی با شناسه CVE-2024-41787 و شدت 9.8 در محصول IBM Engineering Requirements Management DOORS Next شناسایی شده است. این نرم‌افزار یک ابزار مدیریت است که برای بهینه‌سازی ارتباطات و همکاری در زمینه نیازمندی‌های پروژه طراحی شده است.

این آسیب‌پذیری ناشی از یک وضعیت رقابت (Race Condition) است که به مهاجم اجازه می‌دهد محدودیت‌های امنیتی را دور بزند. مهاجم می‌تواند با ارسال یک درخواست ویژه، از این آسیب‌پذیری سوءاستفاده کرده و کد مخرب را از راه دور اجرا کند.

این آسیب‌پذیری مرتبط با CWE-367 است، که از نوع زمان بررسی تا زمان استفاده (TOCTOU) می‌باشد.

• CWE-367 زمانی رخ می‌دهد که چندین فرآیند به طور همزمان به یک منبع دسترسی پیدا کرده و آن را دستکاری می‌کنند.
• نتیجه‌ی اجرا به ترتیب خاص دسترسی‌ها بستگی دارد.
• مهاجم می‌تواند با تغییر منبع و اصلاح جریان عادی اجرا، از این شرایط سوءاستفاده کند.

بر اساس بردار حمله، این آسیب‌پذیری دارای معیارهای زیر است:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

• بهره‌برداری از این آسیب‌پذیری از طریق شبکه‌ی خارجی و از راه دور امکان‌پذیر است (AV:N).
• به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز ندارد (AC:L).
• برای انجام حمله به هیچ حساب کاربری با سطح دسترسی خاصی نیاز نیست و به تعامل با کاربر نیازی ندارد (PR:N / UI:N).
• بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیری نمی‌گذارد (S:U).
• با سوءاستفاده از این آسیب‌پذیری، هر سه ضلع امنیت با شدت بالا تحت تأثیر قرار می‌گیرند (C:H/I:H/A:H).

محصولات آسیب‌پذیر

این آسیب‌پذیری در نسخه‌های 7.0.2 و 7.0.3 شناسایی شده است.

توصیه‌های امنیتی

IBM توصیه می‌کند کاربران اقدامات زیر را انجام دهند:

• برای نسخه‌ی 7.0.2: نصب ifix 32 یا جدیدتر.
• برای نسخه‌ی 7.0.3: نصب ifix 10 یا جدیدتر.

منابع خبر:

[1]https://nvd.nist.gov/vuln/detail/CVE-2024-41787

[2]https://ibm.com/support/pages/security-bulletin-ibm-engineering-requirements-management-doors-next-vulnerable-race-condition-format-flaw-cve-2024-41779-and-race-condition-servlet-cve-2024-41787