CVE-2025-36136
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
IBM Db2 11.5.0-11.5.9 oraz 12.1.0-12.1.3 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić lokalnemu użytkownikowi na wywołanie odmowy usługi z powodu nieprawidłowego wykrywania przez skrypt monitora bazy danych, że instancja wciąż się uruchamia w określonych warunkach.
Ocena ryzyka
Lokalny użytkownik może spowodować niedostępność bazy danych, co może wpłynąć na działanie aplikacji zależnych od Db2 i ciągłość biznesową.
Rekomendacja
Zaleca się zastosowanie poprawek dostarczonych przez IBM dla odpowiednich wersji Db2 oraz monitorowanie stanu instancji bazy danych.
Inne podatności w IBM Db2
Zobacz wszystkie- CVE-2015-1935Wysokie
Implementacja funkcji skalarnej w IBM DB2 w wersjach 9.7 do FP10, 9.8 do FP5, 10.1 przed FP5 oraz 10.5 do FP5 na systemach Linux, UNIX i Windows umożliwia zdalnym atakującym spowodowanie odmowy usługi lub wykonanie dowolnego kodu poprzez nieokreślone wektory.
- CVE-2014-3094Wysokie
W IBM DB2 występuje przepełnienie bufora na stosie, które dotyczy wersji 9.7 do FP9a, 9.8 do FP5, 10.1 do FP4 oraz 10.5 przed FP4 na systemach Linux, UNIX i Windows. Umożliwia to zdalnym, uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez spreparowane polecenie ALTER MODULE.
- CVE-2014-0907Wysokie
Wiele podatności związanych z niezaufanymi ścieżkami wyszukiwania w programach setuid i setgid w IBM DB2 9.5, 9.7 przed FP9a, 9.8, 10.1 przed FP3a oraz 10.5 przed FP3a na systemach Linux i UNIX. Umożliwia to lokalnym użytkownikom uzyskanie uprawnień roota za pomocą złośliwej biblioteki.
- CVE-2013-6744Wysokie
Infrastruktura procedur składowanych w IBM DB2 w wersjach 9.5, 9.7 przed FP9a, 10.1 przed FP3a oraz 10.5 przed FP3a na systemie Windows umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie uprawnienia CONNECT oraz autoryzacji CREATE_EXTERNAL_ROUTINE.
- CVE-2026-10109Krytyczne
IBM Db2 w wersjach 11.5.0-11.5.9 oraz 12.1.0-12.1.4 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej obsługi uzgadniania DRDA przed uwierzytelnieniem.
- CVE-2026-17463Średnie
IBM Db2 w wersjach 11.5.0-11.5.9 i 12.1.0-12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić zdalnemu uwierzytelnionemu atakującemu na spowodowanie odmowy usługi z powodu niekontrolowanego zużycia zasobów.
- CVE-2026-16702Średnie
IBM Db2 w wersjach 11.5.0-11.5.9 i 12.1.0-12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić zdalnemu uwierzytelnionemu atakującemu na spowodowanie odmowy usługi z powodu wyłuskania wskaźnika null.
- CVE-2026-15955Wysokie
IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.5 zawiera podatność polegającą na niewłaściwej walidacji ścieżek plików. Zdalny atakujący może w wyniku tego zapisać dowolne pliki.
- CVE-2026-87958Wysokie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na odmowę usługi, w której określona funkcjonalność serwera Db2 może zostać wyłączona przez uprzywilejowanego użytkownika w pewnych warunkach.
- CVE-2026-86093Wysokie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 może pozwolić atakującemu kontrolującemu lub podszywającemu się pod endpoint serwera DRDA na wykonanie dowolnych poleceń na klientach Db2 w wyniku przepełnienia bufora na stosie.
Oryginalny opis (angielski, źródło NVD)
IBM Db2 11.5.0 through 11.5.9, and 12.1.0 through 12.1.3 for Linux, UNIX and Windows (includes DB2 Connect Server) could allow a local user to cause a denial of service due to the database monitor script incorrectly detecting that the instance is still starting under specific conditions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS