PT-2025-32309 · Bmc+1 · Bmc Control-M+2

Derrick Polakoff · Publicado 2025-08-07 · Atualizado 2025-12-18 · CVE-2025-48709

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas BMC Control-M versão 9.0.21.300

Descrição Existe uma falha em que o Servidor Control-M, quando conectado a um banco de dados, executa frequentemente o DBUStatus.exe. Este processo então chama o dbu connection details.vbs, passando o nome de usuário, senha, hostname do banco de dados e porta em texto claro. Essas credenciais podem ser observadas em logs de eventos e processos em múltiplos locais.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Insertion into Log File

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-214

CWE-532

CWE-522

Identificadores relacionados

CVE-2025-48709

Produtos afetados

Bmc Control-M

Dbustatus.Exe

Dbu Connection Details.Vbs

Referências · 11

• https://twitter.com/CVEnew/status/1953558318980514022 · Publicação no Twitter
• https://t.me/cveNotify/135578 · Publicação no Telegram
• https://t.me/cveNotify/146223 · Publicação no Telegram
• https://t.me/CVEtracker/29465 · Publicação no Telegram
• https://docs.bmc.com/xwiki/bin/view/Control-M-Orchestration/Control-M/ctm9021/Patches/Control-M-Server-PACTV-9-0-21-307 · Aviso do Fabricante
• https://bmc.com · Nota
• https://t.me/cveNotify/140495 · Publicação no Telegram
• https://t.me/cveNotify/144470 · Publicação no Telegram
• https://twitter.com/f8sbrightermind/status/1953566080330342693 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-48709 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48709 · Nota de Segurança