ترمیم دو آسیب‌پذیری حیاتی در IBM WebSphere Application Server

به گزارش کارگروه امنیت سایبربان ، به نقل از پایگاه اینترنتی SecurityAffairs، دو مورد از آن‌ها با شناسه‌های CVE-۲۰۲۰-۴۴۴۸ و CVE-۲۰۲۰-۴۴۵۰ آسیب‌پذیری‌هایی از نوع "اجرای کد به‌صورت از راه دور" (Remote Code Execution) هستند که به آن‌ها درجه حساسیت "حیاتی" (Critical) تخصیص داده‌شده است. بر طبق استاندارد CVSS سطح اهمیت هردوی این آسیب‌پذیری‌ها ۹,۸ اعلام‌شده است. مورد سوم با شناسه CVE-۲۰۲۰-۴۴۴۹ و درجه حساسیت "بالا" (High) نیز ضعفی از نوع "افشای اطلاعات" (Information Disclosure) گزارش‌شده است.
IBM WebSpere یک بستر نرم‌افزاری و میان‌افزار و وظیفه آن میزبانی برنامه‌های وب مبتنی بر Java است.
آسیب‌پذیری‌های CVE-۲۰۲۰-۴۴۴۸ و CVE-۲۰۲۰-۴۴۵۰ از نبود اعتبارسنجی صحیح داده‌های تأمین‌شده از سوی کاربر ناشی می‌شوند که درنتیجه آن امکان ورود داده‌های نامعتبر به فرایند Deserialization ممکن می‌شود.
به گفته IBM بهره‌جویی از CVE-۲۰۲۰-۴۴۴۸ مهاجم را بدون نیاز به اصالت‌سنجی شدن قادر به اجرای کد بر روی توزیع‌های آسیب‌پذیر IBM WebSphere می‌کند. کلاس BroadcastMessageManager از این ضعف امنیتی تأثیر پذیرفته و بهره‌جویی موفق از آن امکان اجرای کد با سطح دسترسی SYSTEM را فراهم می‌کند.
آسیب‌پذیری CVE-۲۰۲۰-۴۴۵۰ نیز از نحوه مدیریت ناصحیح پودمان IIOP ناشی شده و سوءاستفاده از آن از طریق ارسال "دنباله‌ای پیاپی از اشیاء" (Sequence of Serialized Objects) که به نحو مخربی دستکاری‌شده می‌تواند منجر به اجرای کد موردنظر مهاجم با سطح دسترسی root شود.
نسخ ۸,۵ و ۹.۰ محصول IBM WebSphere Application به این ضعف‌های امنیتی آسیب‌پذیر گزارش‌شده‌اند. ضمن اینکه محصول WebSphere Virtual Enterprise Edition نیز از CVE-۲۰۲۰-۴۴۴۸ تأثیر می‌پذیرد.
آسیب‌پذیری CVE-۲۰۲۰-۴۴۴۹ هم فرایند Deserialization در پودمان IIOP را متأثر کرده و به مهاجم امکان می‌دهد تا با ارسال دنباله‌ای پیاپی از اشیاء که به نحو مخربی دستکاری‌شده به‌صورت از راه دور و بدون نیاز به اصالت‌سنجی شدن به اطلاعات بالقوه حساس دست پیدا کند.
IBM اعلام کرده که شواهدی دال بر مورد بهره‌جویی قرار گرفتن آن‌ها نیافته است.
توصیه‌نامه IBM در لینک زیر قابل دریافت و مطالعه است:

https://www.zerodayinitiative.com/advisories/ZDI-۲۰-۶۸۸/