Betroffen ist die ServiceNow-AI-Plattform, in der eine fehlerhafte Zugriffskontrolle gefunden wurde. Der Fehler führt dazu, dass Berechtigungen nicht zuverlässig geprüft werden: Unter bestimmten Umständen kann ein nicht angemeldeter Nutzer Daten der Instanz anlegen oder verändern, obwohl er dazu gar nicht berechtigt sein dürfte. Aus diesen unzulässigen Schreibzugriffen kann eine Rechteausweitung entstehen – der Angreifer verschafft sich also mehr Befugnisse innerhalb der Plattform, als ihm zustehen. Da die Plattform häufig zentrale Geschäfts- und IT-Prozessdaten verwaltet, betrifft eine solche Manipulation nicht nur einzelne Datensätze, sondern potenziell die Integrität der gesamten Instanz. Der Hersteller hat die Lücke behoben: Für gehostete Instanzen wurde ein Sicherheitsupdate ausgerollt, Partner und Kunden mit eigenem Betrieb erhielten die Korrektur zur eigenen Installation. Nach Herstellerangaben sind bislang keine Angriffe auf ServiceNow-Instanzen bekannt.