Vulnerabilidad en los tokens de autorización o las cookies de sesión en IBM Tivoli Key Lifecycle Manager (CVE-2021-38977)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-311
Ausencia de cifrado en información sensible
Fecha de publicación:
15/11/2021
Última modificación:
12/07/2022
Descripción
IBM Tivoli Key Lifecycle Manager versiones 3.0, 3.0.1, 4.0 y 4.1 no establece el atributo de seguridad en los tokens de autorización o las cookies de sesión. los atacantes pueden ser capaces de obtener los valores de las cookies mediante el envío de un enlace http:// a un usuario o al plantar este enlace en un sitio al que el usuario vaya. La cookie se enviará al enlace no seguro y el atacante podrá entonces obtener el valor de la cookie al espiar el tráfico. IBM X-Force ID: 212782
Impacto
Puntuación base 3.x
4.30
Gravedad 3.x
MEDIA
Puntuación base 2.0
4.30
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:ibm:security_guardium_key_lifecycle_manager:4.1.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:ibm:security_guardium_key_lifecycle_manager:4.1.0.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:ibm:security_guardium_key_lifecycle_manager:4.1.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:ibm:security_key_lifecycle_manager:*:*:*:*:*:*:*:* | 3.0 (incluyendo) | 3.0.0.4 (incluyendo) |
| cpe:2.3:a:ibm:security_key_lifecycle_manager:*:*:*:*:*:*:*:* | 3.0.1 (incluyendo) | 3.0.1.5 (incluyendo) |
| cpe:2.3:a:ibm:security_key_lifecycle_manager:*:*:*:*:*:*:*:* | 4.0 (incluyendo) | 4.0.0.3 (incluyendo) |
| cpe:2.3:a:ibm:security_key_lifecycle_manager:4.1.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:ibm:security_key_lifecycle_manager:4.1.0.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:ibm:security_key_lifecycle_manager:4.1.1:*:*:*:*:*:*:* | ||
| cpe:2.3:o:ibm:aix:-:*:*:*:*:*:*:* | ||
| cpe:2.3:o:linux:linux_kernel:-:*:*:*:*:*:*:* | ||
| cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página