Lỗ hổng deserialization không an toàn trước xác thực trong IBM WebSphere Application Server có thể vượt qua xác thực hoặc thực thi mã tùy ý

IBM WebSphere Application Server 9.0 và bản traditional 8.5 dễ bị lỗ hổng deserialization không an toàn trước xác thực, có thể cho phép kẻ tấn công từ xa vượt qua xác thực hoặc thực thi mã tùy ý.

IBM WebSphere Application Server traditional được IBM xác định bị ảnh hưởng trong các nhánh sau:

• Nhánh 9.0.0.0 đến 9.0.5.28 bị ảnh hưởng. IBM nêu Fix Pack 9.0.5.29 hoặc bản sau đó là hướng khắc phục bằng fix pack, với thời điểm cung cấp dự kiến trong quý 3 năm 2026.
• Nhánh 8.5.0.0 đến 8.5.5.30 bị ảnh hưởng. IBM nêu Fix Pack 8.5.5.31 hoặc bản sau đó là hướng khắc phục bằng fix pack, với thời điểm cung cấp dự kiến trong quý 3 năm 2026.
• Interim fix của APAR PH72166 được IBM liệt kê cho các bản 9.0.5.20 đến 9.0.5.28 và 8.5.5.25 đến 8.5.5.30.
• Các thông báo IBM cũng xác định phạm vi triển khai liên quan gồm IBM Cloud Pak for Applications 5.1, 5.2, 5.3; Jazz for Service Management 1.1.3.7 đến 1.1.3.27; và IBM WebSphere Remote Server 8.5, 9.0, 9.1, do các sản phẩm này sử dụng hoặc đóng gói WebSphere Application Server bị ảnh hưởng. Các bản hoặc nhánh song song không được nêu rõ không nên được xem là đã được xác nhận an toàn.

Lỗ hổng nằm trong cơ chế xử lý dữ liệu được deserialize của IBM WebSphere Application Server traditional trước khi hoàn tất xác thực. Dữ liệu đầu vào do kẻ tấn công kiểm soát có thể đi qua luồng xử lý này mà không cần tài khoản, từ đó có khả năng dẫn đến bypass authentication hoặc arbitrary code execution. Bản ghi xác định khả năng truy cập qua mạng, không yêu cầu user interaction và có độ phức tạp tấn công thấp. Bằng chứng hiện có không xác định endpoint cụ thể, định dạng serialized object, lớp Java hoặc payload nào bị khai thác. Vì vậy, không nên suy ra một endpoint hoặc chuỗi khai thác cụ thể ngoài cơ chế pre-authentication unsafe deserialization đã được IBM mô tả.

Lỗ hổng có thể bị khai thác từ xa qua mạng trước khi xác thực, không yêu cầu quyền truy cập trước và không yêu cầu người dùng tương tác. Bản ghi mô tả độ phức tạp thấp, nên một yêu cầu được tạo phù hợp có thể đủ để kích hoạt đường xử lý bị lỗi nếu máy chủ phơi bày giao diện liên quan. Trường public_exploit trong bản ghi được đặt là false, nhưng trạng thái khai thác thực tế không được xác lập. Các trường về khai thác đã biết và chiến dịch ransomware không có dữ liệu, do đó không thể kết luận rằng chưa từng có khai thác.

Khai thác thành công có thể cho phép truy cập trái phép thông qua authentication bypass hoặc thực thi mã tùy ý trên máy chủ WebSphere. Kết quả thực tế phụ thuộc vào quyền của tiến trình, cấu hình máy chủ và các ứng dụng được triển khai, nhưng có khả năng ảnh hưởng đến dữ liệu, chức năng ứng dụng và tính sẵn sàng của dịch vụ. Bản ghi đánh giá tác động tiềm ẩn ở mức cao đối với tính bí mật, toàn vẹn và khả dụng, nhưng không xác định quyền hệ điều hành cụ thể mà mã được thực thi. Không có bằng chứng trong dữ liệu hiện có để khẳng định một vụ xâm nhập hoặc phạm vi ảnh hưởng thực tế.

Nếu khai thác thành công, kẻ tấn công có thể vượt qua cơ chế xác thực của ứng dụng hoặc thực thi mã trên máy chủ WebSphere. Điều này có thể dẫn đến truy cập trái phép vào chức năng và dữ liệu ứng dụng, thay đổi dữ liệu hoặc làm gián đoạn dịch vụ, tùy theo quyền của tiến trình và cấu hình triển khai. Tác động tiềm ẩn bao gồm ảnh hưởng đến tính bí mật, toàn vẹn và khả dụng của hệ thống. Bản ghi không cung cấp bằng chứng về một vụ xâm nhập cụ thể, nạn nhân cụ thể hoặc dữ liệu đã bị truy cập.

1. Với WebSphere Application Server traditional 9.0.0.0 đến 9.0.5.28, nâng lên mức fix pack tối thiểu mà interim fix yêu cầu rồi cài interim fix giải quyết APAR PH72166. IBM liệt kê gói 9.0.5.20-WS-WAS-IFPH72166 áp dụng cho các bản 9.0.5.20 đến 9.0.5.28.
2. Với WebSphere Application Server traditional 8.5.0.0 đến 8.5.5.30, nâng lên mức fix pack tối thiểu mà interim fix yêu cầu rồi cài interim fix giải quyết APAR PH72166. IBM liệt kê gói 8.5.5.25-WS-WAS-IFPH72166 áp dụng cho các bản 8.5.5.25 đến 8.5.5.30.
3. Có thể sử dụng Fix Pack 9.0.5.29 hoặc bản sau đó cho nhánh 9.0, hoặc Fix Pack 8.5.5.31 hoặc bản sau đó cho nhánh 8.5, theo hướng dẫn và thời điểm cung cấp của IBM.
4. Kiểm tra trang interim fix của IBM để xác định các gói bổ sung phù hợp với nền tảng và mức fix pack hiện tại. Sau khi cập nhật, xác minh trong inventory rằng APAR PH72166 đã được xử lý trên mọi instance và sản phẩm IBM sử dụng WebSphere.
5. IBM không công bố workaround hoặc mitigation cho lỗ hổng này. Không nên coi một biện pháp vận hành chung là thay thế cho interim fix hoặc fix pack được IBM chỉ định.

1. Kiểm kê mọi máy chủ IBM WebSphere Application Server traditional, bao gồm cả các sản phẩm IBM đóng gói hoặc triển khai WebSphere làm thành phần hỗ trợ, sau đó đối chiếu nhánh phiên bản với phạm vi bị ảnh hưởng.
2. Kiểm tra IBM Installation Manager, hồ sơ triển khai và hồ sơ thay đổi để xác nhận interim fix giải quyết APAR PH72166 đã được cài đặt trên từng instance liên quan.
3. Xác định các instance có giao diện pre-authentication của WebSphere có thể truy cập từ mạng không tin cậy. Bằng chứng hiện có không nêu endpoint cụ thể, vì vậy không nên giới hạn việc kiểm tra vào một đường dẫn chưa được IBM xác nhận.
4. Rà soát các dấu hiệu bất thường trong hoạt động xác thực và hoạt động máy chủ sau khi xác định hệ thống dễ bị ảnh hưởng. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được IBM công bố.
5. Không coi việc không tìm thấy log bất thường là bằng chứng hệ thống an toàn; cần xác nhận phiên bản và trạng thái bản vá.