CVE-2026-23781: Hardcoded Credentials in BMC Control-M/MFT
Plateforme
other
Composant
bmc-control-m-mft
Corrigé dans
9.0.22-025
CVE-2026-23781 is a critical vulnerability affecting BMC Control-M/MFT versions 9.0.20 through 9.0.22. The vulnerability stems from the hardcoding of default debug user credentials in cleartext within the application package. This allows attackers with access to the application package to easily obtain these credentials and potentially gain unauthorized access to the MFT API debug interface. A fix is available in version 9.0.22-025.
Impact et Scénarios d'Attaque
La vulnérabilité CVE-2026-23781 affecte les versions 9.0.20 à 9.0.22 de BMC Control-M/MFT. Le problème réside dans l'inclusion d'identifiants d'utilisateur de débogage par défaut, codés en texte clair, dans le paquet de l'application. Si ces identifiants ne sont pas modifiés, un attaquant peut facilement les obtenir et potentiellement obtenir un accès non autorisé à l'interface de débogage de l'API MFT. Cela pourrait permettre un accès non autorisé à des données sensibles, la manipulation de configurations ou même l'exécution de code malveillant sur le système affecté. La gravité de cette vulnérabilité est élevée en raison de la facilité d'exploitation et de l'impact potentiel sur la confidentialité, l'intégrité et la disponibilité des données.
Contexte d'Exploitation
L'exploitation de cette vulnérabilité est relativement simple. Un attaquant a seulement besoin d'accéder au paquet de l'application pour extraire les identifiants par défaut. Une fois obtenus, il peut utiliser ces identifiants pour s'authentifier à l'interface de débogage de l'API MFT. L'accès à cette interface permet à l'attaquant d'inspecter et de modifier potentiellement les configurations du système, d'accéder à des données sensibles et d'effectuer d'autres actions malveillantes. L'absence d'authentification appropriée dans l'interface de débogage rend cette vulnérabilité particulièrement dangereuse.
Renseignement sur les Menaces
Statut de l'Exploit
EPSS
0.07% (percentile 20%)
Logiciel Affecté
Chronologie
- Publiée
- Modifiée
- EPSS mis à jour
Mitigation et Contournements
La solution pour atténuer la CVE-2026-23781 consiste à mettre à jour BMC Control-M/MFT vers la version 9.0.22-025 ou ultérieure. Cette mise à jour supprime les identifiants de débogage par défaut et oblige les utilisateurs à configurer leurs propres identifiants sécurisés. De plus, examinez et auditez régulièrement les configurations de sécurité du système, y compris la gestion des utilisateurs et des autorisations. Il est essentiel de mettre en œuvre des politiques de mots de passe robustes et d'activer l'authentification multifacteur (MFA) chaque fois que cela est possible. Surveiller les journaux du système à la recherche d'activités suspectes peut également aider à détecter et à répondre aux attaques potentielles.
Comment corrigertraduction en cours…
Actualice BMC Control-M/MFT a la versión 9.0.22-025 o posterior para mitigar este riesgo. Verifique que las credenciales de depuración predeterminadas hayan sido cambiadas o eliminadas después de la instalación inicial. Consulte la documentación de BMC para obtener instrucciones detalladas sobre cómo aplicar el parche y gestionar las credenciales de depuración.
Questions fréquentes
Qu'est-ce que CVE-2026-23781 dans BMC Control-M/MFT ?
Les versions 9.0.20, 9.0.21 et 9.0.22 sont vulnérables à la CVE-2026-23781.
Suis-je affecté(e) par CVE-2026-23781 dans BMC Control-M/MFT ?
Consultez la documentation de BMC ou l'interface d'administration de Control-M/MFT pour vérifier la version installée.
Comment corriger CVE-2026-23781 dans BMC Control-M/MFT ?
En tant que mesure temporaire, envisagez de désactiver l'interface de débogage de l'API MFT jusqu'à ce que vous puissiez appliquer la mise à jour.
CVE-2026-23781 est-il activement exploité ?
BMC peut fournir des outils ou des scripts pour aider à identifier la présence d'identifiants par défaut dans votre environnement.
Où trouver l'avis officiel de BMC Control-M/MFT pour CVE-2026-23781 ?
Mettez en œuvre des politiques de mots de passe robustes, l'authentification multifacteur et examinez régulièrement les journaux du système.
Ton projet est-il affecté ?
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Essayez maintenant — sans compte
scanZone.subtitle
Glissez-déposez votre fichier de dépendances
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...