CVE-2025-1349

چکیده

آسیب‌پذیری در محصولات IBM Sterling B2B Integrator و IBM Sterling File Gateway نسخه‌های 6.0.0.0 تا 6.1.2.6 و 6.2.0.0 تا 6.2.0.4 از نوع XSS ذخیره شده است که به کاربر دارای دسترسی اجازه می‌دهد کد جاوااسکریپت مخرب را در رابط وب (Web UI) جاسازی کند. این آسیب پذیری ممکن است منجر به افشای اطلاعات احراز هویت در یک نشست مورد اعتماد (trusted session) شود.

توضیحات

آسیب‌پذیری CVE-2025-1349 در رابط کاربری داشبورد (Dashboard UI) محصولات IBM Sterling B2B Integrator (نرم‌افزاری برای یکپارچه‌سازی فرآیندهای تجاری B2B) و IBM Sterling File Gateway (ابزاری برای انتقال امن فایل‌ها در محیط‌های B2B) نسخه‌های 6.0.0.0 تا 6.1.2.6 و 6.2.0.0 تا 6.2.0.4 شناسایی شده است.

این ضعف امنیتی ناشی از XSS ذخیره‌شده (Stored Cross-Site Scripting) است که مطابق با CWE-79 (عدم خنثی‌سازی مناسب ورودی‌ها در تولید صفحه وب) طبقه‌بندی می‌شود.

کاربر با سطح دسترسی بالا می تواند کد جاوااسکریپت مخرب را در فیلد رابط وب (Web UI) جاسازی کند و آن را بدون اعتبارسنجی یا خنثی‌سازی مناسب ذخیره کند؛ سپس این کد در نشست کاربران دیگر اجرا می شود.

این ضعف از راه دور بدون نیاز به تعامل کاربر قابل بهره‌برداری است اما به دسترسی سطح بالا نیاز دارد. پیامدهای احتمالی شامل نقض محرمانگی با افشای اطلاعات احراز هویت مانند نام کاربری و رمز عبور در یک نشست مورد اعتماد، نقض یکپارچگی با امکان تغییر عملکرد رابط وب و دسترسی غیرمجاز به داده‌های حساس تجاری است.

این ضعف می‌تواند به‌عنوان بخشی از زنجیره حملات برای افزایش سطح دسترسی (privilege escalation) استفاده شود. این آسیب‌پذیری چند‌سکویی است و در محیط‌هایی که محصولات آسیب‌پذیر نصب شده‌اند روی Linux, Windows و AIX رخ می‌دهد.

IBM پچ‌های امنیتی را برای نسخه‌های 6.1.2.7، 6.2.0.5 و 6.2.1.0 منتشر کرده و توصیه می‌کند کاربران فوراً این به‌روزرسانی‌ها را اعمال کنند. این پچ‌ها از طریق Fix Central (برای نسخه‌های IIM) و IBM Entitled Registry (برای نسخه‌های container) در دسترس هستند.

CVSS

 لیست محصولات آسیب پذیر

لیست محصولات بروز شده

 استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که IBM Sterling را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

 نتیجه گیری

این آسیب‌پذیری با شدت متوسط از نوع XSS ذخیره شده در محصولات IBM Sterling B2B Integrator و File Gateway، به دلیل عدم اعتبارسنجی مناسب ورودی‌ها، امکان جاسازی کد جاوااسکریپت مخرب و افشای اطلاعات احراز هویت در نشست‌های مورد اعتماد را فراهم می‌کند. با توجه به انتشار پچ رسمی، اجرای فوری اقدامات زیر برای جلوگیری از بهره‌برداری و افزایش امنیت توصیه می‌شود:

• به‌روزرسانی فوری: نسخه‌های آسیب‌پذیر را به 6.1.2.7، 6.2.0.5 یا 6.2.1.0 به روزرسانی کنید. پچ‌ها از Fix Central برای IIM و IBM Entitled Registry برای container قابل دریافت هستند.
• محدودسازی دسترسی کاربران دارای دسترسی (privileged users): دسترسی به رابط وب (Web UI) را بر اساس اصل حداقل دسترسی (least privilege) محدود کنید و از کنترل دسترسی مبتنی بر نقش (RBAC) برای کاهش ریسک تزریق اسکریپت استفاده نمایید.
• اعتبارسنجی و فیلترینگ ورودی‌ها: تمام ورودی‌های کاربر را برای اسکریپت‌های مخرب فیلتر و خنثی سازی کنید. از سیاست امنیت محتوا (CSP) برای جلوگیری از اجرای اسکریپت‌های غیرمجاز استفاده کنید.
• نظارت و ثبت لاگ ها (logging): لاگ‌های رابط وب را برای شناسایی ورودی‌های مشکوک (مانند رشته‌های جاوااسکریپت) بررسی کنید و از فایروال اپلیکیشن وب (WAF) برای تشخیص و مسدودسازی حملات XSS بهره ببرید.
• تست و اسکن امنیتی: از ابزارهای اسکن آسیب‌پذیری مانند OWASP ZAP برای شناسایی نقاط آسیب پذیر استفاده کنید و پس از اعمال پچ، تست نفوذ (penetration testing) انجام دهید.
• آموزش کاربران: کاربران دارای دسترسی را در مورد ریسک XSS و اهمیت اجتناب از ورودی‌های مشکوک آموزش دهید و پروتکل‌های امن مانند HTTPS و احراز هویت چندمرحله‌ای را پیاده‌سازی کنید.

رعایت این اقدامات، ریسک XSS ذخیره شده و افشای اطلاعات احراز هویت را به حداقل می‌رساند و امنیت محصولات IBM Sterling B2B Integrator و File Gateway را به‌طور قابل‌توجهی بهبود می‌بخشد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
آسیب‌پذیری XSS ذخیره‌شده در Dashboard UI امکانِ ورود اولیه را از طریق یک حسابِ privileged (کاربر دارای دسترسی مدیریتی یا اپراتور) فراهم می‌کند؛ مهاجم با استفاده از حساب مجاز می‌تواند اسکریپت را در فیلدهای ورودی ذخیره کند و به‌واسطه نشست‌های معتبر، نقطه ورود به محیط مدیریت را ایجاد نماید

Execution (TA0002)
کد جاوااسکریپتِ تزریق‌شده در مرورگرِ قربانی اجرا می‌شود (بدون نیاز به تعامل اضافی کاربر) و می‌تواند توابع DOM را دستکاری، درخواست‌های AJAX بسازد، یا payloadهای دیگری را فعال کند. این مرحله همان اجرای فرمانِ سمت‌کلاینت است که حمله را عملیاتی می‌کند.

Persistence (TA0003)
محتوا به‌صورت ذخیره‌شده در دیتابیس یا محتوای صفحات باقی می‌ماند؛ بنابراین هر بار که کاربران به صفحاتِ آسیب‌دیده مراجعه کنند، اسکریپت دوباره بارگذاری و اجرا می‌شود — یعنی مهاجم به شکلی پایدار تا زمان پاک‌سازی باقی می‌ماند.

Privilege Escalation (TA0004)
پس از سرقت کوکی‌ها/توکن‌ها یا اجرای عملیات جعل نشست، مهاجم می‌تواند نشست‌های کاربران سطح بالاتر مثلاً admin را سرقت کند و امتیازاتش را به مدیر تبدیل کند؛ این مسیر ساده‌ای برای ارتقاء امتیاز از یک کاربر دارای دسترسی نسبی به دسترسی کامل سیستمی است.

Credential Access (TA0006)
اسکریپت تزریقی می‌تواند کوکی‌های نشست، توکن‌های CSRF، یا داده‌های فرم لاگین را بخواند و به سرور کنترل مهاجم ارسال کند؛ نتیجه مستقیمِ این تکنیک سرقت اعتبار و دسترسی بدون نیاز به کرک رمز خواهد بود.

Discovery (TA0007)
مهاجم از طریق اسکریپتِ اجراشده می‌تواند ساختار صفحات، مسیرهای API، و نقاط ورودی مدیریت را شناسايی کند مثلاً endpoint های REST، مسیرهای فایل تا بردِ حمله و فهرست اهداف را توسعه دهد.

Lateral Movement (TA0008)
با استفاده از نشست‌های ربوده‌شده یا اعتبارنامه‌های استخراج‌شده، مهاجم می‌تواند از سرویس‌های B2B به سامانه‌های پشتیبان (مثلاً سرورهای فایل، دیتابیس، یا سرویس‌های اِکسچِنج) دسترسی یابد و حرکت جانبی در شبکه سازمان انجام دهد.

Collection (TA0009)
هدف جمع‌آوری شامل داده‌های نشست، فایل‌های تجاری حساس، پِی‌لودهای تبادل شده بین شرکا و هر داده متنی/فرمی که در رابط ذخیره شده است می‌باشد؛ اسکریپت می‌تواند این محتوا را جمع‌آوری و در حالت باینری/متنی آماده خروج کند.

Impact (TA0040)
این آسیب‌پذیری XSS ذخیره‌شده می‌تواند به‌سرعت از یک نقص تکنیکی به یک رخداد عملیاتی تبدیل شود: اجرای جاوااسکریپت مخرب در نشست‌های معتبر ممکن است منجر به افشای توکن‌ها و کوکی‌های احراز هویت، دسترسی غیرمجاز به داده‌های تجاری حساس و ربودن نشست‌های مدیریتی شود که در نهایت امکان افزایش سطح دسترسی، تغییر یا تخریب پیکربندی‌های B2B و قطع سرویس‌های انتقال فایل را فراهم می‌سازد

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-1349
2. https://www.cvedetails.com/cve/CVE-2025-1349/
3. https://www.ibm.com/support/pages/node/7237109
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-1349
5. https://vuldb.com/?id.313224
6. https://nvd.nist.gov/vuln/detail/CVE-2025-1349
7. https://cwe.mitre.org/data/definitions/79.html