Podatności HCL BigFix Service Management

HCL BigFix Service Management ma podatność na nieprawidłową walidację danych wejściowych, która może pozwolić atakującemu na dostarczenie nieoczekiwanych lub nieprawidłowo sformatowanych danych, powodując błędy przetwarzania, obejście logiki biznesowej i nieoczekiwane zachowanie aplikacji.

HCL BigFix Service Management jest podatny na podatność Server-Side Request Forgery (SSRF) w funkcji wyszukiwania, co może pozwolić atakującemu na wymuszenie na serwerze aplikacji wysyłania żądań do systemów wewnętrznych niedostępnych z internetu.

HCL BigFix Service Management jest podatny na wadę SQL Injection oraz wadę Cross-Tenant Data Exposure, co może pozwolić uwierzytelnionemu atakującemu na wstrzykiwanie poleceń bazy danych w celu wyodrębnienia poufnych informacji o systemie, a także manipulowanie wartościami żądań w celu uzyskania nieautoryzowanego dostępu do pełnych danych profilu osobowego i PII w różnych organizacjach.

HCL BigFix Service Management jest dotknięty podatnością ujawniania informacji, ponieważ aplikacja zwraca wrażliwe informacje w komunikatach błędów, gdy nieprawidłowe dane wejściowe są wysyłane do niektórych punktów końcowych API. Informacje te mogą umożliwić atakującemu przeprowadzenie dalszych ataków.

HCL BigFix Service Management jest dotknięty podatnością na ujawnienie informacji, ponieważ wystawiony endpoint API ujawnia wrażliwe wewnętrzne informacje z bazy danych. Informacje te mogą umożliwić atakującemu przeprowadzenie ukierunkowanych ataków na bazę danych.

HCL BigFix Service Management jest dotknięty podatnością na nieprawidłową walidację danych wejściowych, co może pozwolić atakującemu na wstrzyknięcie niezwalidowanych, nieprawidłowo sformułowanych danych do aplikacji, umożliwiając potencjalne ataki typu injection lub błędy w systemach przetwarzania danych.

HCL BigFix Service Management ma podatność ujawniania informacji, ponieważ dwa wystawione endpointy API zwracają wrażliwe dane, co może umożliwić atakującemu przeprowadzenie poważniejszych ataków.

HCL BigFix Service Management zawiera podatność niezabezpieczonej komunikacji, która umożliwia atakującemu z dostępem do sieci wewnętrznej przechwycenie niezaszyfrowanego ruchu HTTP między usługami backendu. Pozwala to na wyciek danych wrażliwych oraz przeprowadzenie ataków typu man-in-the-middle.

HCL BigFix Service Management ma podatność ujawniania informacji, która pozwala nieuwierzytelnionemu atakującemu analizować publicznie dostępne pliki JavaScript, co umożliwia odkrycie ukrytych endpointów API administracyjnych.

HCL BigFix Service Management jest dotknięty podatnością związaną z niebezpieczną konfiguracją atrybutów ciasteczek, która może pozwolić atakującemu na wykorzystanie brakujących atrybutów bezpieczeństwa, takich jak SameSite, HttpOnly, Secure i restrykcyjne ścieżki. Umożliwia to ataki Cross-Site Request Forgery (CSRF), przejęcie sesji przez Cross-Site Scripting (XSS) oraz nieautoryzowany dostęp.

HCL BigFix Service Management zawiera podatność typu Stored Cross-Site Scripting (XSS), która umożliwia atakującemu wstrzyknięcie i zapisanie złośliwych skryptów w aplikacji. Skrypty te wykonują się, gdy ofiara odwiedza zainfekowaną stronę, co umożliwia przejęcie sesji i kradzież danych wrażliwych.

HCL BigFix Service Management jest dotknięty podatnością typu Administrative Session Concurrency. Aplikacja pozwala na wiele jednoczesnych uwierzytelnionych sesji dla tego samego konta administracyjnego, co może umożliwić nieautoryzowanemu atakującemu przewidzenie lub przejęcie prawidłowych identyfikatorów sesji.

HCL BigFix Service Management jest dotknięty podatnością polegającą na wycieku poufnych informacji, która może pozwolić nieuwierzytelnionemu atakującemu na wyodrębnienie wewnętrznych adresów IP z odpowiedzi aplikacji, umożliwiając mapowanie topologii sieci i identyfikację potencjalnych celów wewnętrznych.

HCL BigFix Service Management jest dotknięty podatnością polegającą na błędnej konfiguracji CORS z powodu nieprawidłowo walidowanych nagłówków origin, co może pozwolić atakującemu na stworzenie złośliwej strony internetowej wchodzącej w interakcję z podatną aplikacją, umożliwiając nieautoryzowany dostęp do chronionych zasobów i zastrzeżonych interfejsów API w imieniu ofiary.

HCL BigFix Service Management jest dotknięty podatnością związaną z nieprawidłowym uwierzytelnianiem, wynikającą z niewystarczających blokad kont, co może pozwolić nieuwierzytelnionemu atakującemu na przeprowadzenie trwałych ataków brute-force na interfejs logowania, prowadzących do nieautoryzowanego dostępu do systemu.

HCL BigFix Service Management jest dotknięty podatnością na nieograniczone przesyłanie plików z powodu niewłaściwej kontroli walidacji plików, co może pozwolić nieuwierzytelnionemu atakującemu na przesłanie i wykonanie złośliwych plików, prowadząc do całkowitej kompromitacji serwera.

Podatność polegająca na nieprawidłowej konfiguracji zabezpieczeń w HCL BigFix Service Management. Uwierzytelniony atakujący może wykorzystać nieprawidłowe mechanizmy kontroli dostępu, umożliwiające nieautoryzowany podgląd ograniczonych danych między dzierżawcami (tenant boundaries).

HCL BigFix Service Management jest dotknięty podatnością Cross-Site Scripting (XSS), która może pozwolić atakującemu na wstrzyknięcie nieoczyszczonych złośliwych skryptów wykonujących się w przeglądarce ofiary. Umożliwia to przejęcie sesji, przejęcie konta i nieautoryzowane działania w imieniu dotkniętych użytkowników.

HCL BigFix Service Management zawiera podatność typu Broken Access Control o wysokiej wadze. Użytkownik z niskimi uprawnieniami może uzyskać nieautoryzowany dostęp do ekranów i funkcji administracyjnych zarezerwowanych dla ról o wyższych uprawnieniach.

Brak lub nieprawidłowe ustawienie nagłówka X-Content-Type-Options w HCL BigFix Service Management (SM) umożliwia przeglądarkom wykonywanie sniffowania MIME. Może to prowadzić do błędnej interpretacji i wykonania złośliwych treści.

HCL BigFix Service Management (SM) jest podatne na konfigurację – 'Niebezpieczne użycie wersji obrazu bazowego'. Używanie nieaktualnych lub niebezpiecznych obrazów bazowych może wprowadzić znane podatności, potencjalnie zwiększając ryzyko eksploatacji w środowisku aplikacji.

HCL BigFix Service Management (SM) jest podatny na problem polegający na tym, że główny system plików nie jest zamontowany jako tylko do odczytu. Nieprawidłowo skonfigurowany główny system plików może pozwolić na niezamierzone modyfikacje krytycznych komponentów systemu.

HCL BigFix Service Management (SM) jest podatny na ujawnienie informacji z powodu nieprawidłowej obsługi błędów w module raportowania. Zaobserwowano, że podanie nieprawidłowej lub spoza zakresu wartości parametru consumer_company podczas żądania wyświetlenia raportu powoduje nieobsłużony wyjątek w aplikacji.

HCL BigFix Service Management (SM) używa podatnego serwera WSGI. Wdrożenie przestarzałego lub niebezpiecznego serwera WSGI może narazić aplikację na znane słabości bezpieczeństwa, zwiększając ryzyko wykorzystania i nieautoryzowanego dostępu.

HCL BigFix Service Management (SM) jest podatny na błędną konfigurację bezpieczeństwa z powodu brakującego lub niebezpiecznego nagłówka "X-Content-Type-Options". Może to pozwolić przeglądarkom na sniffing typu MIME, potencjalnie powodując nieprawidłową interpretację i wykonanie złośliwej treści.

HCL BigFix Service Management (SM) jest podatny na lukę błędnej konfiguracji bezpieczeństwa związaną z nagłówkiem CSP. Może to pozwolić atakującym na wstrzyknięcie złośliwych skryptów, zwiększając ryzyko cross-site scripting (XSS) i potencjalnego ujawnienia wrażliwych informacji.

HCL BigFix Service Management (SM) posiadał katalogi, które nie były linkowane ani publicznie widoczne, ale mogły być dostępne bezpośrednio. Może to zwiększyć ryzyko ujawnienia informacji lub niewłaściwego wykorzystania poufnych funkcji.

HCL BigFix Service Management (SM) nie odpowiednio oczyszcza ani bezpiecznie renderuje plików arkuszy kalkulacyjnych (CSV, XLS, XLSX) przed ich przetworzeniem lub dystrybucją. Atakujący może wypełnić pola danych, które po zapisaniu do pliku CSV mogą próbować wycieku informacji lub innych złośliwych działań po automatycznym uruchomieniu przez oprogramowanie arkusza kalkulacyjnego.

Podatność w HCL BigFix Service Management (SM) polega na niewystarczającej ochronie poświadczeń przez krótki czas podczas komunikacji z wewnętrzną aplikacją backendową. Może to pozwolić atakującemu na przechwycenie i niewłaściwe wykorzystanie tych danych, jeśli zostaną one wykradzione.

HCL BigFix Service Management (SM) jest dotknięty problemem ujawnienia informacji – zidentyfikowano problem z banerem serwera. Ujawnione banery serwera mogą ujawniać wersje oprogramowania i szczegóły systemu.

Aplikacja HCL BigFix Service Management (SM) nie usuwa metadanych EXIF z przesyłanych obrazów. Może to prowadzić do ryzyka naruszenia poufności i prywatności, jeśli wrażliwe informacje o lokalizacji zostaną nieumyślnie udostępnione.

HCL BigFix Service Management (SM) jest podatny na atak Cross-Site Request Forgery (CSRF). Może to prowadzić do nieautoryzowanych zmian lub ujawnienia poufnych danych.

HCL BigFix Service Management jest podatny na przemyt żądań HTTP (HTTP Request Smuggling). Podatności tego typu pojawiają się, gdy witryny kierują żądania HTTP przez serwery WWW z niespójnym parsowaniem HTTP, co pozwala atakującym ominąć kontrolę bezpieczeństwa i przeprowadzić ataki takie jak zatruwanie pamięci podręcznej lub przechwytywanie żądań.