CVE-2026-84884: IBM Guardium Data Protection хранит пароли REST в обратимом виде
В IBM Guardium Data Protection 12.2 пароли сервисных учётных записей REST хранятся в обратимой форме, эквивалентной открытому тексту. Аутентифицированный злоумышленник, получивший доступ к хранилищу учётных данных, может восстановить пароль и получить административный REST-токен. Уязвимость оценена в 7.5 (HIGH) по CVSS.
Подробности
Уязвимость затрагивает IBM Guardium Data Protection версии 12.2. Согласно описанию, продукт хранит внутренние пароли сервисных учётных записей REST в обратимой форме, которая эквивалентна хранению в открытом тексте. Иными словами, применяемый механизм защиты не является криптографически стойким: любой, кто получает доступ к сохранённым учётным данным, способен восстановить исходный пароль. Ключевое условие эксплуатации — наличие у атакующего аутентификации в системе. Речь не идёт об удалённой эксплуатации без предварительного доступа: злоумышленник должен уже располагать действующей учётной записью и возможностью добраться до хранилища секретов. Однако при выполнении этого условия он может извлечь пароль сервисной учётной записи и на его основе получить административный токен доступа к REST API. Это существенно расширяет привилегии и открывает путь к управляющим операциям над системой защиты данных. Заявленный уровень опасности — CVSS 7.5 (HIGH). Такой балл отражает высокую значимость последствий компрометации, хотя и требует предварительной аутентификации для использования уязвимости.Что делать
Основная рекомендация — как можно скорее обновить IBM Guardium Data Protection до версии, в которой проблема устранена. IBM в таких случаях публикует исправления и бюллетень безопасности с указанием фиксированных сборок; перед обновлением следует свериться с официальным бюллетенем вендора и применить рекомендованный патч. До установки обновления целесообразно применить компенсирующие меры: - ограничить сетевой доступ к REST-интерфейсу Guardium (сегментация, правила межсетевого экрана, доступ только с доверенных хостов); - усилить контроль учётных записей: пересмотреть состав пользователей с доступом к системе, отозвать лишние и своевременно блокировать неиспользуемые; - включить и анализировать журналы доступа к REST API и административным операциям, чтобы выявлять подозрительную активность; - после обновления сменить пароли сервисных учётных записей REST, поскольку ранее сохранённые значения могли быть скомпрометированы; - ограничить права доступа к файлам и хранилищам, где содержатся учётные данные, по принципу минимально необходимых привилегий. Также стоит проверить, не использовались ли скомпрометированные сервисные учётные записи в других системах: повторное использование паролей увеличивает масштаб потенциального ущерба. Итог CVE-2026-84884 — уязвимость высокого уровня опасности в IBM Guardium Data Protection 12.2, вызванная обратимым хранением паролей сервисных учётных записей REST. Эксплуатация требует предварительной аутентификации, но позволяет получить административный токен и расширить контроль над системой. Критично оперативно обновить продукт до исправленной версии, ограничить доступ к REST-интерфейсу и сменить сервисные пароли.Источник: CVE Project (cvelistV5)