IBM Security Identity Manager多个漏洞预警

一、基本情况

6月16日， IBM发布安全公告，修复了IBM Security Identity Manager（ISIM）产品中存在服务器端请求伪造 (SSRF) 和帐户接管漏洞，相关CVE编号：CVE-2021-20483、CVE-2021-20488。其中CVE-2021-20488漏洞危害较大，经过身份验证的攻击者利用该漏洞更改Windows AD环境中其他用户的密码。目前官方已修复漏洞，建议受影响用户及时升级新版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。

二、 漏洞描述

IBM Security Identity Manager（ISIM）是美国IBM公司的一套身份管理和治理解决方案。

1. 服务器端请求伪造 (SSRF)漏洞(CVE-2021-20483)

IBM Security Identity Manager（ISIM）6.0.2版本存在该漏洞，攻击者通过发送特制的请求，成功利用该漏洞获取获取敏感数据。

2.账户接管漏洞(CVE-2021-20488)

IBM Security Identity Manager（ISIM）6.0.2版本存在该漏洞，是由于在部署和配置IBM Security Identity Manager Windows密码同步插件时，允许经过身份验证的恶意用户更改Windows AD环境中其他用户的密码。

三、 影响范围

IBM Security Identity Manager（ISIM）6.0.2

四、 安全建议

建议受影响用户尽快更新至ISIM 6.0.2-ISS-SIM-IF0003，以减轻漏洞风险。

五、 参考链接

https://www.ibm.com/support/pages/node/6464081