BDU:2022-05099 (CVE-2021-38969) — уязвимость механизма аутентификации программного обеспечения виртуализации Spectrum Virtualize

По данным БДУ ФСТЭК России, по состоянию на 18.08.2022.

Уязвимость механизма аутентификации программного обеспечения виртуализации Spectrum Virtualize связана с использованием жестко закодированных учетных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Кого касается и что делать

• Уязвимое ПО: IBM Spectrum Virtualize (IBM) — версии 8.2.0.0, 8.3.0.0, 8.4.0.0
• Что делать: уязвимость устранена производителем — применить исправления: www.ibm.com

Сведения об уязвимости

Идентификаторы	BDU:2022-05099 · CVE-2021-38969
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость механизма аутентификации программного обеспечения виртуализации Spectrum Virtualize, позволяющая нарушителю повысить свои привилегии
Даты	Опубликована: 18.08.2022 · Обновлена ФСТЭК: 18.08.2022 · Выявлена: 11.05.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-798 — жесткое кодирование регистрационных данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: нарушение аутентификации

Уязвимое ПО

• IBM Spectrum Virtualize (IBM) — версии 8.2.0.0, 8.3.0.0, 8.4.0.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление.

• Исполтьзование рекомендаций
• www.ibm.com/support/pages/node/6584337

Источники

• www.ibm.com/support/pages/node/6584337
• exchange.xforce.ibmcloud.com/vulnerabilities/212609