漏洞起因
设计错误
危险等级
低
影响系统
IBM Rational Quality Manager
不受影响系统
危害
远程攻击者可以利用漏洞以tomcat服务安全上下文执行任意代码。
攻击所需条件
攻击者必须访问IBM Rational Quality Manager。
漏洞信息
IBM Rational Quality Manager是一款为完整的软件开发生命周期提供集成的测试计划和测试资产的协作的，基于Web的质量管理软件。
IBM Rational Quality Manager/Test Lab Manager其绑定使用的tomcat服务器安装存在缺陷，’tomcat-users.xml’中默认的ADMIN帐户没有正确的禁用，此帐户提供管理员角色级别访问，并使用默认的密码。远程攻击者可以利用这个帐户以tomcat服务安全上下文执行任意代码。
测试方法
厂商解决方案
IBM Rational Quality Manager 7.9.0.3 build 1046已经修复此漏洞，建议用户下载使用：
https://www.ibm.com/developerworks/rational/products/testmanager/
也可下载"Apache Tomcat Weak Default Administrative Account Credentials"的规则升级程序：
http://download4.boulder.ibm.com/sar/CMA/RAA/013m6/0/Rules-Update-749.exe
漏洞提供者
Sebastian Apelt
0 条评论。