CVE-2026-105466
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na atak typu denial of service (odmowa usługi) podczas wstawiania danych do tabeli z kolumnami XML w określonych warunkach. Podatność może prowadzić do niedostępności usługi.
Ocena ryzyka
Atakujący może wywołać awarię lub zawieszenie usługi bazy danych, co prowadzi do przerwy w działaniu aplikacji zależnych od Db2. Może to skutkować utratą dostępności i stratami operacyjnymi.
Rekomendacja
Należy zaktualizować IBM Db2 do wersji zawierającej poprawkę (poza zakresem 11.5.0–11.5.9 i 12.1.0–12.1.5) lub zastosować się do zaleceń producenta. Do czasu aktualizacji zaleca się monitorowanie i ograniczenie operacji wstawiania do tabel z kolumnami XML.
Inne podatności w IBM Db2
Zobacz wszystkie- CVE-2015-1935Wysokie
Implementacja funkcji skalarnej w IBM DB2 w wersjach 9.7 do FP10, 9.8 do FP5, 10.1 przed FP5 oraz 10.5 do FP5 na systemach Linux, UNIX i Windows umożliwia zdalnym atakującym spowodowanie odmowy usługi lub wykonanie dowolnego kodu poprzez nieokreślone wektory.
- CVE-2014-3094Wysokie
W IBM DB2 występuje przepełnienie bufora na stosie, które dotyczy wersji 9.7 do FP9a, 9.8 do FP5, 10.1 do FP4 oraz 10.5 przed FP4 na systemach Linux, UNIX i Windows. Umożliwia to zdalnym, uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez spreparowane polecenie ALTER MODULE.
- CVE-2014-0907Wysokie
Wiele podatności związanych z niezaufanymi ścieżkami wyszukiwania w programach setuid i setgid w IBM DB2 9.5, 9.7 przed FP9a, 9.8, 10.1 przed FP3a oraz 10.5 przed FP3a na systemach Linux i UNIX. Umożliwia to lokalnym użytkownikom uzyskanie uprawnień roota za pomocą złośliwej biblioteki.
- CVE-2013-6744Wysokie
Infrastruktura procedur składowanych w IBM DB2 w wersjach 9.5, 9.7 przed FP9a, 10.1 przed FP3a oraz 10.5 przed FP3a na systemie Windows umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie uprawnienia CONNECT oraz autoryzacji CREATE_EXTERNAL_ROUTINE.
- CVE-2026-10109Krytyczne
IBM Db2 w wersjach 11.5.0-11.5.9 oraz 12.1.0-12.1.4 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej obsługi uzgadniania DRDA przed uwierzytelnieniem.
- CVE-2026-104364Niskie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 może pozwolić lokalnemu atakującemu na spowodowanie odmowy usługi z powodu nieprawidłowej walidacji danych wejściowych.
- CVE-2026-104332Średnie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na atak typu odmowa usługi (DoS) podczas wykonywania specjalnie spreparowanego zapytania z użyciem tabeli zmaterializowanej (Materialized Query Table).
- CVE-2026-78404Średnie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na lokalną eskalację uprawnień za pomocą narzędzia db2pd.
- CVE-2026-18166Wysokie
IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie informacji wrażliwych z powodu niewłaściwej autoryzacji przy użyciu polecenia CREATE WRAPPER.
- CVE-2026-105465Wysokie
IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.5 jest podatny na eskalację uprawnień, gdy db2locssh jest włączone w instancji db2. Luka pozwala atakującemu na uzyskanie wyższych uprawnień w systemie.
Oryginalny opis (angielski, źródło NVD)
IBM Db2 11.5.0 through 11.5.9, and 12.1.0 through 12.1.5 is vulnerable to a denial of service when inserting into a table with XML columns under specific conditions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS