IBM - CVE-2026-1346
Date de publication :
Il s'agit d'une vulnérabilité dans la gestion des niveaux de privilèges d'exécution au sein des composants conteneurisés d'IBM Verify Identity Access et IBM Security Verify Access.
IBM Verify Identity Access (anciennement IBM Security Verify Access) est une solution IAM (Identity and Access Management) destinée aux entreprises et organisations de taille importante. Elle assure la gestion centralisée des identités, le contrôle d'accès, l'authentification forte et le SSO, et est disponible en version appliance et en version conteneurisée.
Certains processus internes s'exécutent avec des droits supérieurs à ceux requis par leur fonction, dont des droits root. Un utilisateur authentifié localement, sans nécessiter de privilèges préalables, peut interagir avec ces processus sur-privilégiés pour forcer l'exécution d'actions sous leur contexte.
Elle permet une élévation de privilèges jusqu'au niveau root sur le système hôte.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Élévation de privilèges
Exploitation
CWE-250 : Execution with Unnecessary Privileges
Détails sur l'exploitation
• Vecteur d'attaque : Local
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• IBM Verify Identity Access versions 11.0 jusqu'à 11.0.2
• IBM Verify Identity Access Container versions 11.0 jusqu'à 11.0.2
• IBM Security Verify Access versions 10.0 jusqu'à 10.0.9.1
• IBM Security Verify Access Container versions 10.0 jusqu'à 10.0.9.1
Solutions ou recommandations
- IBM Verify Identity Access version 11.0.2 IF1 et supérieures.
- IBM Security Verify Access version 10.0.9.1 IF1 et supérieures.