Recientemente se han hecho públicos cuatro fallos de seguridad no conocidos y no parcheados en el software de seguridad para empresas comercializado por IBM

Pedro Ribeiro, de Agile Information Security, ha sido el investigador encargado de detectar y hacer públicos los problemas de seguridad del producto de seguridad para empresas que ofrece IBM.

El producto concreto en el que se han encontrado las vulnerabilidades es IBM Data Risk Manager (IDRM), un software que permite a las empresas analizar información sensible de la misma y obtener como resultado una valoración de los riesgos asociados dicha información si se produjese un ataque o un problema de seguridad.

Según Pedro, este producto contiene tres vulnerabilidades consideradas de riesgo crítico, mientras que una cuarta sería considerada de riesgo alto. Éstas pueden explotarse sin necesidad de autenticación en el sistema, lo que las hace muy peligrosas. Las vulnerabilidades son:

• Bypass en la autenticación, lo que permite a un atacante saltarse la autenticación del sistema
• Inyección de comandos
• Contraseña por defecto insegura
• Descarga de ficheros arbitraria

El primero de los problemas puede combinarse con el resto para lograr control completo del sistema sin necesidad de autenticarse. El problema se encuentra en la funcionalidad de reseteo de contraseña, que debido a un problema lógico permite resetear la contraseña de cualquier usuario, incluso la del administrador.

En el caso de la inyección de comandos, ésta se produce en la funcionalidad que permite la subida de scripts de Nmap, ya que se pueden incluir en ellos cualquier comando que se desee.

El problema de contraseñas inseguras tiene como origen el uso de un usuario llamado ‘a3user’ con una contraseña ‘idrm’, que si no se cambia permite a los atacantes conectarse por SSH a la máquina.

Y por último, la descarga arbitraria de ficheros se produce por un fallo de directorio transversal, que permite descargar cualquier fichero del servidor y no solamente los ficheros subidos a la aplicación. Este fallo solo puede explotarse si se ha autenticado en el sistema, sin embargo, puede usarse el primero de los problemas de seguridad para explotar esta vulnerabilidad.

Pedro Ribeiro afirma que reportó los problemas a IBM, pero que como respuesta IBM indicó que «las vulnerabilidades se encuentran fuera del ámbito de su programa de divulgación de vuñnerabilidades porque este producto solo recibe soporte para clientes de pago».

Sin embargo, IBM ha rectificado y ha indicado que esta respuesta se trata de un error, que se produjo al procesar y enviar la respuesta al investigador. IBM ya se encuentra trabajando en un parche que resuelva los problemas de su software.

Más información

Fuente: https://thehackernews.com/2020/04/ibm-data-risk-manager-vulnerabilities.html