Khóa mật mã hard-coded trong IBM Guardium Data Protection có thể làm lộ thông tin nhạy cảm

IBM Guardium Data Protection 12.1 và 12.2 có thể cho phép kẻ tấn công từ xa thu được thông tin nhạy cảm do sử dụng khóa mật mã hard-coded.

IBM xác định các phiên bản sau của IBM Guardium Data Protection bị ảnh hưởng:

• Phiên bản 12.1.
• Phiên bản 12.2.

Bản tin IBM xác định phạm vi sản phẩm trên Linux và chỉ liệt kê các phiên bản nêu trên trong mục sản phẩm bị ảnh hưởng. Việc một phiên bản không xuất hiện trong bản tin, đặc biệt là phiên bản đã hết hỗ trợ hoặc thuộc diện hỗ trợ mở rộng, không đủ để kết luận phiên bản đó không bị ảnh hưởng.

IBM Guardium Data Protection sử dụng một khóa mật mã được hard-code, thuộc nhóm lỗi CWE-321. Bằng chứng hiện có xác nhận lỗi có thể bị khai thác từ xa qua mạng; vector tấn công không yêu cầu quyền truy cập hoặc tương tác của người dùng, nhưng độ phức tạp tấn công được đánh giá là cao. Advisory không nêu thành phần, endpoint, tham số đầu vào hay thao tác mật mã cụ thể mà khóa này bảo vệ. Vì vậy, chưa thể xác định chính xác cách request từ xa tiếp cận khóa, dữ liệu nào có thể bị giải mã hoặc thao tác nào khác có thể bị ảnh hưởng. Phạm vi triển khai và điều kiện cấu hình bổ sung cần được kiểm tra theo tài liệu và gói sửa lỗi của IBM.

Lỗi có khả năng tiếp cận từ xa qua mạng theo thông tin trong bản ghi. Vector được cung cấp cho biết không cần quyền truy cập trước và không cần người dùng tương tác, nhưng khai thác có độ phức tạp cao. Bản ghi đánh dấu không có public exploit được ghi nhận trong dữ liệu cung cấp; điều này không chứng minh rằng việc khai thác là không thể hoặc chưa từng xảy ra. Trạng thái khai thác thực tế không được xác lập, và không có chiến dịch, nạn nhân hay tên exploit cụ thể nào được nêu.

Kết quả kỹ thuật được xác nhận là kẻ tấn công từ xa có thể thu được thông tin nhạy cảm do sản phẩm sử dụng khóa mật mã hard-coded. Theo vector được cung cấp, cuộc tấn công không yêu cầu quyền truy cập trước hoặc tương tác của người dùng, nhưng độ phức tạp cao. Vector cũng mô tả tác động cao đến tính bí mật, toàn vẹn và sẵn sàng; tuy nhiên advisory không giải thích liệu kẻ tấn công có đạt được quyền cao hơn, sửa dữ liệu hay làm gián đoạn dịch vụ bằng cùng cơ chế hay không. Vì thiếu chi tiết về thành phần và luồng xử lý, mức độ ảnh hưởng thực tế của từng triển khai vẫn cần được đánh giá sau khi xác định cấu hình và dữ liệu được bảo vệ.

Lỗi có thể dẫn đến việc tiết lộ thông tin nhạy cảm cho một tác nhân từ xa nếu tác nhân đó tiếp cận được chức năng liên quan. Vector được cung cấp cũng mô tả khả năng ảnh hưởng cao đến tính bí mật, toàn vẹn và sẵn sàng, nhưng IBM không công bố thao tác hoặc thành phần cụ thể làm phát sinh các ảnh hưởng này. Do đó, tổ chức nên coi các hệ thống thuộc phạm vi ảnh hưởng là có rủi ro đối với dữ liệu và hoạt động bảo mật cho đến khi xác nhận bản sửa lỗi. Tài liệu được cung cấp mô tả lỗ hổng và biện pháp khắc phục, không xác nhận một vụ xâm phạm dữ liệu cụ thể.

1. Đối với IBM Guardium Data Protection 12.1, áp dụng bản sửa lỗi IBM có mã SqlGuard_12.0p150_Bundle qua IBM Fix Central.
2. Đối với IBM Guardium Data Protection 12.2, áp dụng bản sửa lỗi IBM có mã SqlGuard_12.0p233_FixPack qua IBM Fix Central.
3. Xác nhận sau cập nhật rằng gói sửa lỗi đã được triển khai trên tất cả node hoặc appliance thuộc phạm vi ảnh hưởng và lưu lại bằng chứng kiểm tra phiên bản, gói cài đặt hoặc lịch sử cập nhật.
4. IBM khuyến nghị khách hàng cập nhật hệ thống sớm. IBM không liệt kê workaround hoặc mitigation thay thế, vì vậy hạn chế truy cập mạng hoặc tăng cường giám sát không nên được xem là biện pháp thay thế cho việc cập nhật.
5. Nếu tổ chức đang vận hành phiên bản ngoài phạm vi được IBM liệt kê, cần xác minh trực tiếp với IBM thay vì suy luận rằng phiên bản đó không bị ảnh hưởng.

1. Kiểm kê các hệ thống đang chạy IBM Guardium Data Protection và xác định các nhánh phát hành thuộc phạm vi ảnh hưởng.
2. Đối chiếu trạng thái cập nhật với các bản sửa lỗi tương ứng do IBM cung cấp cho từng nhánh trong IBM Fix Central.
3. Kiểm tra inventory gói phần mềm, lịch sử cập nhật và bằng chứng triển khai để xác nhận bản sửa lỗi đã được cài đặt, thay vì chỉ dựa vào trạng thái của máy chủ.
4. Advisory không cung cấp log signature, endpoint hoặc IOC cụ thể. Có thể rà soát bổ sung các truy cập từ xa bất thường và sự kiện liên quan đến dữ liệu nhạy cảm như một biện pháp phòng ngừa, nhưng không được xem việc không có log đó là bằng chứng hệ thống an toàn.