CVE-2026-23781: Credentials Hardcoded in BMC Control-M/MFT
Plateforme
other
Composant
bmc-control-m-mft
Corrigé dans
9.0.22-025
Une vulnérabilité a été découverte dans BMC Control-M/MFT, des versions 9.0.20 à 9.0.22. Cette vulnérabilité réside dans la présence d'informations d'identification de débogage par défaut, codées en dur en clair au sein du package de l'application. L'exploitation de cette faille pourrait permettre un accès non autorisé à l'interface de débogage de l'API MFT, compromettant potentiellement la sécurité des données et des opérations. La mise à jour vers la version 9.0.22-025 corrige cette vulnérabilité.
Impact et Scénarios d'Attaque
L'impact principal de cette vulnérabilité est la possibilité pour un attaquant d'obtenir des informations d'identification de débogage par défaut et de les utiliser pour accéder à l'interface de débogage de l'API MFT. Cet accès pourrait permettre à l'attaquant d'intercepter des données sensibles, de modifier des configurations, voire d'exécuter des commandes arbitraires sur le système. Bien que l'interface de débogage soit généralement isolée, une compromission pourrait servir de tremplin pour des attaques plus larges sur l'infrastructure Control-M/MFT. Le risque est exacerbé par le fait que ces informations d'identification sont codées en dur, ce qui signifie qu'elles ne sont pas modifiées par défaut lors de l'installation, laissant de nombreux systèmes vulnérables. Il est crucial de noter que l'obtention de cet accès pourrait permettre une surveillance du trafic et des opérations, conduisant à une perte de confidentialité et d'intégrité des données.
Contexte d'Exploitation
La vulnérabilité CVE-2026-23781 a été publiée le 10 avril 2026. Il n'y a pas d'indications d'exploitation active à ce jour. La probabilité d'exploitation est considérée comme moyenne, compte tenu de la simplicité de l'exploitation (récupération d'informations d'identification codées en dur) et du fait que les systèmes vulnérables peuvent être difficiles à identifier. Il n'y a pas de référence à KEV ou EPSS pour le moment. Consultez l'avis de sécurité BMC pour plus d'informations.
Renseignement sur les Menaces
Statut de l'Exploit
EPSS
0.07% (percentile 20%)
Logiciel Affecté
Chronologie
- Publiée
- Modifiée
- EPSS mis à jour
Mitigation et Contournements
La mitigation principale consiste à mettre à jour BMC Control-M/MFT vers la version 9.0.22-025, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une mesure temporaire consiste à modifier les informations d'identification de débogage par défaut dès l'installation. Il est impératif de ne pas utiliser les informations d'identification par défaut fournies par BMC. En l'absence de mise à jour, une surveillance accrue des journaux d'accès à l'API MFT est recommandée pour détecter toute activité suspecte. Il n'existe pas de règles WAF spécifiques connues pour cette vulnérabilité, mais une règle générale interdisant l'accès non autorisé à l'interface de débogage pourrait être mise en place. Après la mise à jour, vérifiez l'absence d'informations d'identification par défaut en consultant la configuration de l'API MFT.
Comment corrigertraduction en cours…
Actualice BMC Control-M/MFT a la versión 9.0.22-025 o posterior para mitigar este riesgo. Verifique que las credenciales de depuración predeterminadas hayan sido cambiadas o eliminadas después de la instalación inicial. Consulte la documentación de BMC para obtener instrucciones detalladas sobre cómo aplicar el parche y gestionar las credenciales de depuración.
Questions fréquentes
What is CVE-2026-23781 — Credentials Hardcoded in BMC Control-M/MFT?
CVE-2026-23781 décrit une vulnérabilité dans BMC Control-M/MFT (versions 9.0.20 à 9.0.22) où des informations d'identification de débogage par défaut sont codées en dur en clair, permettant un accès non autorisé.
Am I affected by CVE-2026-23781 in BMC Control-M/MFT?
Vous êtes affecté si vous utilisez BMC Control-M/MFT versions 9.0.20, 9.0.21 ou 9.0.22 et que vous n'avez pas modifié les informations d'identification de débogage par défaut.
How do I fix CVE-2026-23781 in BMC Control-M/MFT?
La solution est de mettre à jour BMC Control-M/MFT vers la version 9.0.22-025. En attendant, modifiez les informations d'identification de débogage par défaut.
Is CVE-2026-23781 being actively exploited?
À ce jour, il n'y a pas d'indications d'exploitation active de CVE-2026-23781, mais la probabilité d'exploitation est considérée comme moyenne.
Where can I find the official BMC advisory for CVE-2026-23781?
Consultez l'avis de sécurité officiel de BMC pour obtenir des informations détaillées et les dernières mises à jour concernant CVE-2026-23781.
Ton projet est-il affecté ?
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Essayez maintenant — sans compte
scanZone.subtitle
Glissez-déposez votre fichier de dépendances
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...