Aktywnie wykorzystywana w atakach
IBM Aspera Faspex Code Execution Vulnerability
IBM - Aspera Faspex · Figuruje w katalogu CISA KEV od 2023-02-21. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-47986
KrytyczneCVSS 9.8KEVStreszczenie
IBM Aspera Faspex 4.4.2 Patch Level 1 i wcześniejsze może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu w systemie z powodu błędu deserializacji YAML. Wysyłając specjalnie spreparowane wywołanie przestarzałego API, atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Przestarzałe wywołanie API zostało usunięte w Faspex 4.4.2 PL2.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze Aspera Faspex, co może prowadzić do pełnego przejęcia systemu i dostępu do przesyłanych danych.
Rekomendacja
Zaktualizuj IBM Aspera Faspex do wersji 4.4.2 Patch Level 2 lub nowszej, która usuwa przestarzałe wywołanie API.
Inne podatności w IBM Aspera Faspex
Zobacz wszystkie- CVE-2026-14959Krytyczne
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez wstrzyknięcie poleceń powłoki.
- CVE-2026-14958Krytyczne
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez niecytowaną interpolację powłoki.
- CVE-2026-14996Wysokie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 zawiera lukę związaną z zarządzaniem sesjami.
Oryginalny opis (angielski, źródło NVD)
IBM Aspera Faspex 4.4.2 Patch Level 1 and earlier could allow a remote attacker to execute arbitrary code on the system, caused by a YAML deserialization flaw. By sending a specially crafted obsolete API call, an attacker could exploit this vulnerability to execute arbitrary code on the system. The obsolete API call was removed in Faspex 4.4.2 PL2. IBM X-Force ID: 243512.