IBM Verify Identity Access 和 IBM Security Verify Access 中发现安全漏洞

CVE-2026-1346 影响 IBM Verify Identity Access Container (版本 11.0 到 11.0.2) 和 IBM Security Verify Access Container (版本 10.0 到 10.0.9.1)，以及 IBM Verify Identity Access (版本 11.0 到 11.0.2) 和 IBM Security Verify Access (版本 10.0 到 10.0.9.1)。 它允许本地身份验证的用户由于进程以不必要的权限运行而提升其权限到 root 级别。攻击者可以利用此漏洞完全控制受影响的系统，从而危及数据和资源的机密性、完整性和可用性。

Organizations utilizing IBM Verify Identity Access in environments with local user authentication are at risk. This includes deployments with legacy configurations, shared hosting environments where multiple users have local access, and those relying on default or poorly configured access controls. Specifically, environments where local accounts have unnecessary privileges are particularly vulnerable.

• ibm / server:

# Check for vulnerable versions
grep -r '10.0\|11.0' /opt/IBM/VerifyIdentityAccess/bin/version.sh

• linux / server:

# Audit user privileges and processes running with elevated permissions
sudo -u root ps aux | grep -i 'verifyidentityaccess'

1. 2026-04-08Disclosure

   disclosure

1. 已保留2026-01-22
2. 发布日期2026-04-08
3. 修改日期2026-04-09
4. EPSS 更新日期2026-04-15

目前，IBM 尚未发布此漏洞的修复程序。 建议的缓解措施是，在可用时升级到已修补的版本。 期间，请应用最小权限原则：将用户和进程的权限限制在其执行任务所需的最低限度。 监控系统日志以查找可疑活动也有助于检测和响应潜在攻击。 此外，建议审查容器安全配置并应用最佳实践以加强整体安全态势。