官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
IBM 近日发布紧急安全公告，警告客户其 Maximo Application Suite（MAS）核心组件 IBM Maximo Manage 中存在一个高危漏洞（CVE-2025-36386，CVSS 评分 9.8）。该漏洞允许远程攻击者绕过认证机制，未经授权访问 Cognos Analytics，可能导致敏感业务数据泄露。
漏洞技术细节
根据公告描述："当 IBM Maximo Application Suite 中的 IBM Maximo Manage 应用程序与独立部署的 Cognos Analytics 集成并使用 MXCSP 时存在漏洞。远程攻击者可绕过认证机制，未经授权访问 Cognos Analytics。"
该漏洞源于 MXCSP（Maximo Cognos Service Provider）在 Maximo Manage 与 Cognos Analytics 集成过程中处理认证请求的方式。当配置不当或被利用时，攻击者可操纵该集成功能绕过标准认证检查，无需有效凭证即可访问 Cognos 服务层。
受影响版本
该漏洞影响 Maximo Manage 组件的以下版本：
- MAS 9.0.0 至 9.0.15（Manage 9.0.0 至 9.0.17）
- MAS 9.1.0 至 9.1.4（Manage 9.1.0 至 9.1.4）
潜在危害
IBM Maximo Application Suite 广泛应用于工业、制造和企业资产管理环境，其中 Cognos Analytics 与运营数据集成以实现可视化和报告功能。成功利用此漏洞的攻击者能够：
- 访问并操纵 Cognos 仪表板和报告
- 提取或修改敏感分析数据
- 将该认证绕过漏洞与其他漏洞串联，提升在 Maximo 环境中的权限
鉴于 Cognos Analytics 通常与企业级数据源对接，此类入侵可能不仅限于 Maximo 系统，还可能波及 ERP、供应链和维护智能系统。
修复方案
IBM 已为两个主要 MAS 分支发布补丁：
- MAS 9.0 Fix Central 更新
- MAS 9.1 Fix Central 更新
考虑到该漏洞的远程可利用性和敏感分析数据可能面临的泄露风险，IBM 将该漏洞标记为最高紧急级别，建议所有受影响客户立即应用最新补丁。
参考来源：
本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf
客服小蜜蜂（微信：freebee1024）