IBM naprawia poważną lukę w Endpoint Manager dla zarządzania urządzeniami mobilnymi

Luka w zabezpieczeniach w produkcie IBM Endpoint Manager dla urządzeń mobilnych może umożliwić atakującym wykonanie złośliwego kodu na serwerach używanych przez firmy do zarządzania urządzeniami.

Produkt Mobile Device Management (MDM) produktu IBM Endpoint Manager zapewnia firmom zarządzanie, bezpieczeństwo i raportowanie funkcjonalność urządzeń mobilnych.

Naukowcy z niemieckiej firmy ochroniarskiej RedTeam Pentesting odkryli, że pliki cookie służące do uwierzytelniania dla kilku komponentów IBM Endpoint Manager są chronione za pomocą zakodowanego statycznego tajnego tokenu, który można łatwo uzyskać. Komponenty, których dotyczy problem, to przedłużacz iOS, portal samoobsługowy, dostawca usług zaufanych i portal administratora.

[Dalsze informacje: Jak usunąć złośliwe oprogramowanie z komputera z systemem Windows]

"Po wykryciu tajnego pliku wartości dowolnych plików cookie mogą być dowolne. stworzone i wysłane do odpowiedniego wniosku o dalsze przetwarzanie "- stwierdzili naukowcy RedTeam w poradniku bezpieczeństwa. Można to wykorzystać do wykonania dowolnego kodu na serwerze IBM Endpoint Manager.

"Luka w zabezpieczeniach pozwala nieuwierzytelnionym atakującym zdalnie wykonywać niepożądany kod z uprawnieniami administratora w systemach, których dotyczy luka" - napisali naukowcy. "Jest wysoce prawdopodobne, że udany atak na serwer aplikacji może zostać wykorzystany w pełnym kompromisie ze wszystkimi urządzeniami zarządzanymi przez produkt."

IBM wydał wersję 9.0.60100 produktu, aby zaradzić tej luce, a także opublikował biuletyn zabezpieczeń. Nie ma żadnych obejść i środków zaradczych, więc użytkownicy powinni uaktualnić się do nowej wersji tak szybko, jak to możliwe.