CVE-2022-22364mediumCWE-350

CVE-2022-22364: falha de média gravidade em IBM Cognos Controller

IBM Cognos Controller security bypass

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Cognos Controller

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.5%
Em resumo

O IBM Cognos Controller não valida corretamente as entradas do usuário, permitindo que atacantes façam a aplicação realizar consultas DNS e requisições HTTP para sites arbitrários. Isso pode ser usado para atacar outros sistemas que o servidor consegue acessar.

Detalhe técnico

Vulnerabilidade CWE-350 que permite Server-Side Request Forgery (SSRF) por validação inadequada de entrada nas versões afetadas (10.4.1, 10.4.2, 11.0.0). Um atacante remoto pode enviar payloads malformados causando requisições DNS e HTTP não autorizadas para domínios arbitrários, facilitando ataques laterais a partir do contexto de rede do servidor de aplicação.

Resumo gerado e traduzido por IA a partir da descrição oficial.
IBM Cognos Controller 10.4.1, 10.4.2, and 11.0.0 is vulnerable to external service interaction attack, caused by improper validation of user-supplied input. A remote attacker could exploit this vulnerability to induce the application to perform server-side DNS lookups or HTTP requests to arbitrary domain names. By submitting suitable payloads, an attacker can cause the application server to attack other systems that it can interact with. IBM X-Force ID: 220903.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Produtos afetados
IBM · Cognos Controller
CVEs relacionadas — IBM Cognos Controller

No mesmo produto, das mais perigosas para as menos.

CVE-2019-4176MEDIUMCVE-2019-4176EPSS 1.9%CVE-2019-4173MEDIUMCVE-2019-4173EPSS 1.8%CVE-2020-4876HIGHCVE-2020-4876EPSS 1.7%CVE-2020-4875HIGHCVE-2020-4875EPSS 1.7%CVE-2020-4879HIGHCVE-2020-4879EPSS 1.5%CVE-2020-4685HIGHCVE-2020-4685EPSS 1.4%