Vulnerabilità di Esecuzione di Codice Remota in IBM QRadar (CVE-2020-4888) Rilevamento
Indice:
Il 27 gennaio 2021, IBM ha rilasciato una patch ufficiale per una grave vulnerabilità di esecuzione di codice remoto che interessa il suo QRadar SIEM.
Descrizione CVE-2020-4888
Il problema di sicurezza si verifica perché la funzione di deserializzazione Java non riesce a deserializzare in modo sicuro un input fornito dall’utente. Di conseguenza, hacker remoti con pochi privilegi possono eseguire comandi arbitrari sul sistema interessato inviando un oggetto Java serializzato modificato in modo malevolo.
La vulnerabilità ha ricevuto un punteggio base di CVSSv3 di 6,3, classificandosi come un problema di gravità media. Tuttavia, la vulnerabilità ha una complessità di attacco bassa, rendendola un bug evidente che richiede un’immediata correzione. Poiché il proof-of-concept (PoC) exploit è già stato reso pubblico, gli esperti di sicurezza si aspettano presto tentativi di sfruttamento nel mondo reale.
Rilevamento e Mitigazione CVE-2020-4888
Secondo l’advisory di IBM advisory, la vulnerabilità interessa le versioni IBM QRadar SIEM 7.4.0 fino a 7.4.2 Patch 1 e IBM QRadar SIEM 7.3.0 fino a 7.3.3 Patch 7. Gli utenti sono invitati a installare l’ultima versione di IBM QRadar SIEM il prima possibile per rimanere sicuri.
Uno degli sviluppatori più attivi di Threat Bounty, Osman Demir, ha già rilasciato una regola Sigma comunitaria in grado di rilevare i tentativi di sfruttamento per CVE-2020-4888. Scarica la regola da Threat Detection Marketplace per difenderti proattivamente da possibili attacchi informatici:
https://tdm.socprime.com/tdm/info/oFg7JXQblNHt/Qhof03cBR-lx4sDx5gzv/#rule-context
La regola ha traduzioni per le seguenti piattaforme:
SIEM: ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, LogPoint, Humio, FireEye Helix
EDR: Carbon Black, Sentinel One
MITRE ATT&CK:
Tattiche: Accesso Iniziale
Tecniche: Sfruttare Applicazioni Esposte (T1190)
Iscriviti a Threat Detection Marketplace gratuitamente e riduci il tempo medio di rilevamento degli attacchi informatici con una libreria di contenuti SOC di oltre 96.000 elementi che aggrega regole, parser e query di ricerca, regole Sigma e YARA facilmente convertibili in vari formati. Vuoi arricchire la base di contenuti e creare il tuo contenuto di rilevamento? Unisciti al nostro Programma Threat Bounty per un futuro più sicuro!
