Seria 0-dayów w IBM Data Risk Manager; IBM nie przyjął zgłoszenia o podatności

Pedro Ribeiro ujawnił dzisiaj serię 0-dayów w oprogramowaniu klasy enterprise: IBM Data Risk Manager. Zgodnie z opisem na oficjalnej stronie:

IBM Data Risk Manager udostępnia wyższej kadrze kierowniczej i jej współpracownikom praktycznie użyteczne centrum sterowania ryzykiem dla danych. Rozwiązanie to pomaga w wykrywaniu, analizowaniu i wizualizacji zagrożeń biznesowych związanych z danymi, a w efekcie otwiera drogę do podejmowania właściwych działań zapobiegawczych.

Skąd decyzja o ujawnieniu podatności? Pedro próbował skontaktować się z IBM (z pomocą CERT/CC), lecz firma nie przyjęła jego zgłoszenia. Odpowiedzieli w następujący sposób:

we have assessed this report and closed as being out of scope for our vulnerability disclosure program since this product is only for „enhanced” support paid for by our customers.

Trudno zrozumieć, dlaczego produkty z „enhanced support” nie wliczają się w bug bounty… Autor podaje, że jemu nie zależało na jakimkolwiek bounty, jedynie chciał w sposób odpowiedzialny zgłosić błąd bezpieczeństwa do producenta.

Same błędy są dość ciekawe i proste w wykorzystaniu:

• Ominięcie uwierzytelnienia (możliwość zalogowania na admina bez znajomości hasła),
• Command Injection (możliwość wykonania dowolnego kodu systemu operacyjnego),
• Słabe domyślne hasło: W systemie jest dwóch domyślnych użytkowników: admin i a3user. Domyślne hasło dla tego drugiego to idrm. O ile po zalogowaniu wymagany jest reset hasła dla użytkownika admin, o tyle nie ma takiego samego monitu dla a3user. Ten użytkownik może zalogować się po ssh, gdzie ma też uprawnienia do sudo.
• Możliwość pobierania dowolnych plików z dysku serwera.

Exploity zostały wydane w postaci modułów do metasploita, a ich działanie można zobaczyć na tej podstronie w Asciinema (pokazane są pierwsze trzy błędy powyżej: przejęcie uprawnień admina, wykonanie dowolnego polecenia systemu operacyjnego i eskalacja do roota przez sudo).

Błędy nie są załatane. Nie wiadomo też czy i kiedy IBM planuje je naprawić.

— mb