ibm拒绝修补后：安全研究人员公布了idrm的四个零日漏洞-k8凯发天生赢家

由于被告知后拒绝修补，安全研究人员今日发布了影响 ibm 磁盘风险管理（idrm）这款企业安全工具的四个零日漏洞。据悉，idrm 能够汇总来自漏洞扫描工具和其它风险管理工具的提要，以便管理员调查安全问题。正如 agile 信息安全公司研究主管 pedro ribeiro 所指出的那样，idrm 是一款能够处理相当敏感信息的企业安全产品。

遗憾的是，有关 idrm 产品本身的漏洞，却可能导致企业遭受全面的损害。因其具有访问其它安全工具的凭据，更别提汇总了有关企业的关键漏洞信息。

ribeiro 表示，其在 idrm 中发现了四个漏洞，并且与 cert / cc 计算机安全响应团队合作，通过官方披露程序向 ibm 汇报了这些问题。

然而即便被告知四个漏洞的严重性，ibm 方面的回应却有些匪夷所思 —— 该产品仅用于客户的‘增强’支持，在评估之后，我们不认为他在漏洞披露程序的范围之内。
我司已在  上概述了相关政策，想要获得该项目的参与资格，你不能在提交前六个月、根据合同对 ibm 公司或客户执行安全性测试。

直到今天，研究人员仍不明白 ibm 为什么要摆出这样一副态度：

为何 ibm 拒绝接受免费的详细漏洞报告？
ibm 的回应到底是什么意思？是该公司仅接受来自客户的漏洞报告吗？
还是说该产品并不在支持范围内？若如此，为何还要出售给新客户？
要知道它们销售的可是企业级的安全产品啊！怎么还能如此不负责任呢

ribeiro 补充道：“作为一家市值数十亿美元、向世界级大企业出售安全产品和咨询业务的公司，ibm 的回应实在让人难以置信”。

鉴于 ibm 无意修补这些漏洞，agile 方面决定在 github 上公布四个漏洞的详细信息，以敦促使用该产品的企业采取防范任何攻击的缓解措施。

（1）攻击者可绕过 idrm 的身份验证机制；
（2）idrm api 中有一个注入点，或被攻击者在应用程序上执行自己的命令；
（3）a3user/idrm 使用了硬编码的用户名和密码组合；
（4）api 中的漏洞或允许远程攻击者从 idrm 设备上下载文件。

【更新】在今日发给 zdnet 的一封电子邮件中，ibm 终于遗憾地承认了此事，并声称相关补丁正在开发过程中。