CVE-2026-105465
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.5 jest podatny na eskalację uprawnień, gdy db2locssh jest włączone w instancji db2. Luka pozwala atakującemu na uzyskanie wyższych uprawnień w systemie.
Ocena ryzyka
Atakujący może podnieść swoje uprawnienia w środowisku Db2, co może prowadzić do przejęcia kontroli nad instancją lub hostem. Stanowi to poważne zagrożenie dla poufności i integralności danych.
Rekomendacja
Zastosuj dostępne poprawki IBM dla Db2 obejmujące wersje 11.5.x i 12.1.x. Jeśli db2locssh nie jest wymagane, wyłącz je w instancji db2.
Inne podatności w IBM Db2
Zobacz wszystkie- CVE-2015-1935Wysokie
Implementacja funkcji skalarnej w IBM DB2 w wersjach 9.7 do FP10, 9.8 do FP5, 10.1 przed FP5 oraz 10.5 do FP5 na systemach Linux, UNIX i Windows umożliwia zdalnym atakującym spowodowanie odmowy usługi lub wykonanie dowolnego kodu poprzez nieokreślone wektory.
- CVE-2014-3094Wysokie
W IBM DB2 występuje przepełnienie bufora na stosie, które dotyczy wersji 9.7 do FP9a, 9.8 do FP5, 10.1 do FP4 oraz 10.5 przed FP4 na systemach Linux, UNIX i Windows. Umożliwia to zdalnym, uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez spreparowane polecenie ALTER MODULE.
- CVE-2014-0907Wysokie
Wiele podatności związanych z niezaufanymi ścieżkami wyszukiwania w programach setuid i setgid w IBM DB2 9.5, 9.7 przed FP9a, 9.8, 10.1 przed FP3a oraz 10.5 przed FP3a na systemach Linux i UNIX. Umożliwia to lokalnym użytkownikom uzyskanie uprawnień roota za pomocą złośliwej biblioteki.
- CVE-2013-6744Wysokie
Infrastruktura procedur składowanych w IBM DB2 w wersjach 9.5, 9.7 przed FP9a, 10.1 przed FP3a oraz 10.5 przed FP3a na systemie Windows umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie uprawnienia CONNECT oraz autoryzacji CREATE_EXTERNAL_ROUTINE.
- CVE-2026-10109Krytyczne
IBM Db2 w wersjach 11.5.0-11.5.9 oraz 12.1.0-12.1.4 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej obsługi uzgadniania DRDA przed uwierzytelnieniem.
- CVE-2026-104364Niskie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 może pozwolić lokalnemu atakującemu na spowodowanie odmowy usługi z powodu nieprawidłowej walidacji danych wejściowych.
- CVE-2026-104332Średnie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na atak typu odmowa usługi (DoS) podczas wykonywania specjalnie spreparowanego zapytania z użyciem tabeli zmaterializowanej (Materialized Query Table).
- CVE-2026-78404Średnie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na lokalną eskalację uprawnień za pomocą narzędzia db2pd.
- CVE-2026-18166Wysokie
IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie informacji wrażliwych z powodu niewłaściwej autoryzacji przy użyciu polecenia CREATE WRAPPER.
- CVE-2026-105466Średnie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na atak typu denial of service (odmowa usługi) podczas wstawiania danych do tabeli z kolumnami XML w określonych warunkach. Podatność może prowadzić do niedostępności usługi.
Oryginalny opis (angielski, źródło NVD)
IBM Db2 11.5.0 through 11.5.9, and 12.1.0 through 12.1.5 is vulnerable to privilege escalation when db2locssh is enabled with the db2 instance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS