Inyección de código en IBM QRadar Suite Software e IBM Cloud Pak for Security

Un atacante que explote esta vulnerabilidad podría obtener control total sobre el sistema QRadar afectado. Esto implica la capacidad de ejecutar comandos arbitrarios con los privilegios del usuario que creó el script, lo que podría resultar en la exfiltración de datos sensibles, la modificación de la configuración del sistema, la instalación de malware o incluso el acceso a otros sistemas dentro de la red. La gravedad de este impacto se agrava por el hecho de que QRadar Suite es una plataforma de seguridad crítica que recopila y analiza datos de seguridad de múltiples fuentes, lo que significa que un compromiso podría tener consecuencias devastadoras para toda la organización. La capacidad de ejecutar código arbitrario abre la puerta a una amplia gama de ataques, incluyendo la creación de puertas traseras persistentes y el movimiento lateral dentro de la red.

Organizations heavily reliant on IBM QRadar Suite Software for security monitoring and incident response are particularly at risk. This includes those with complex security environments, extensive log data processing, and potentially those with legacy QRadar deployments that may be slower to patch. Shared hosting environments utilizing QRadar instances are also at increased risk due to potential cross-tenant vulnerabilities.

• linux / server:

journalctl -u qradar | grep -i "case management script"

• generic web:

curl -I <qradar_url>/case_management_script_endpoint

• database (mysql):

SELECT * FROM scripts WHERE script_type = 'case_management' AND script_content LIKE '%malicious_code%';

1. 2025-06-03Disclosure

   disclosure

1. Reservado2025-01-31
2. Publicada2025-06-03
3. Modificada2026-02-26
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a la versión corregida proporcionada por IBM. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad temporales. Restrinja el acceso a la funcionalidad de creación de scripts de gestión solo a usuarios autorizados y con privilegios mínimos. Implemente controles de validación de entrada rigurosos para los scripts de gestión para evitar la inyección de código malicioso. Monitoree los registros del sistema en busca de actividades sospechosas relacionadas con la creación o ejecución de scripts. Considere la implementación de reglas en un firewall de aplicaciones web (WAF) para bloquear patrones de ataque conocidos. Después de aplicar la actualización, verifique que la vulnerabilidad haya sido corregida ejecutando pruebas de seguridad y revisando los registros del sistema.