| CVE ID | CVE-2024-1604 |
| Data publikacji | 18 marca 2024 |
| Producent podatnego oprogramowania | BMC |
| Nazwa podatnego oprogramowania | Control-M |
| Podatne wersje | od 9.0.20 do 9.0.20.238, od 9.0.21 do 9.0.21.201 |
| Typ podatności (CWE) | Incorrect Authorization (CWE-863) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2024-1605 |
| Data publikacji | 18 marca 2024 |
| Producent podatnego oprogramowania | BMC |
| Nazwa podatnego oprogramowania | Control-M |
| Podatne wersje | od 9.0.20 do 9.0.20.238, od 9.0.21 do 9.0.21.201 |
| Typ podatności (CWE) | Improper Access Control (CWE-284) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2024-1606 |
| Data publikacji | 18 marca 2024 |
| Producent podatnego oprogramowania | BMC |
| Nazwa podatnego oprogramowania | Control-M |
| Podatne wersje | od 9.0.20 do 9.0.20.238, od 9.0.21 do 9.0.21.200 |
| Typ podatności (CWE) | Improper Neutralization of Script-Related HTML Tags in a Web Page (CWE-80) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu BMC Control-M i koordynował proces ujawniania informacji.
Podatność CVE-2024-1604 występuje w module zarządzania i tworzenia raportów. Pozwala ona zalogowanym użytkownikom na odczyt i wprowadzanie nieautoryzowanych zmian w dowolnych raportach dostępnych w aplikacji, nawet bez odpowiednich uprawnień. Osoba atakująca musi znać unikatowy identyfikator raportu, który chce modyfikować. Podatność została usunięta dla gałęzi 9.0.20 w wersji 9.0.20.238, natomiast dla gałęzi 9.0.21 w wersji 9.0.21.201.
Podatność CVE-2024-1605 polega na ładowaniu (po zalogowaniu się użytkownika) wszystkich bibliotek DLL z katalogu, który pozwala na odczyt i zapis wszystkim użytkownikom. Umożliwia to załadowanie i uruchomienie potencjalnie szkodliwych bibliotek. Dla gałęzi 9.0.20 podatność została usunięta w wersji 9.0.20.238, natomiast dla gałęzi 9.0.21 w wersji 9.0.21.201.
Podatność CVE-2024-1606 pozwala na modyfikowanie generowanych stron internetowych poprzez wstrzyknięcie kodu HTML. Może to doprowadzić np. do udanego ataku phishingowego, poprzez nakłonienie użytkowników do użycia hiperłącza wskazującego na witrynę internetową kontrolowaną przez osobę atakującą. Dla gałęzi 9.0.20 podatność została usunięta w wersji 9.0.20.238, natomiast dla gałęzi 9.0.21 w wersji 9.0.21.200.
Podziękowania
Za zgłoszenie podatności dziękujemy Maksymilianowi Kubiakowi oraz Dawidowi Małeckiemu z firmy AFINE.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.