CVE-2026-11828
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
IBM MQ pozwala zdalnemu atakującemu posiadającemu kontrolę nad menedżerem kolejek lub dostęp typu man-in-the-middle na niezaszyfrowanych kanałach wywołać odmowę usługi w aplikacjach klienckich korzystających z asynchronicznej konsumpcji komunikatów z powodu niewłaściwej walidacji długości nazwy kolejki.
Ocena ryzyka
Atakujący może zakłócić działanie aplikacji klienckich i wykorzystać niezaszyfrowane kanały do manipulacji ruchem.
Rekomendacja
Zaktualizuj IBM MQ, wymuś szyfrowanie kanałów (TLS) i ogranicz kontrolę nad menedżerem kolejek do zaufanych administratorów.
Inne podatności w IBM MQ
Zobacz wszystkie- CVE-2026-12351Krytyczne
IBM MQ w wersjach 9.3.0.0–9.3.0.41 LTS, 9.3.0.0–9.3.5.1 CD, 9.4.0.0–9.4.0.25 LTS, 9.4.0.0–9.4.5.1 LTS oraz 10.0.0.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niebezpiecznego przetwarzania wyszukiwania JNDI, gdy wdrożona jest aplikacja IVT.
- CVE-2026-14511Średnie
IBM MQ w wersjach od 9.4.5.0 do 9.4.5.1 może umożliwić uwierzytelnionemu użytkownikowi wywołanie odmowy usługi poprzez wysłanie specjalnie spreparowanej wiadomości, która powoduje awarię aplikacji konsumujących. Skutkiem jest naruszenie dostępności.
- CVE-2026-12727Średnie
IBM MQ może umożliwić uwierzytelnionemu atakującemu spowodowanie niestabilności procesu z powodu przepełnienia bufora typu off-by-one podczas przetwarzania specjalnie spreparowanych nazw obiektów. Może to prowadzić do zakłócenia działania usługi.
- CVE-2026-12670Średnie
IBM MQ zawiera podatność, która pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi poprzez specjalnie spreparowaną wiadomość powodującą nadmierne operacje pamięciowe podczas konwersji zestawu znaków.
- CVE-2026-12669Niskie
IBM MQ może umożliwić uwierzytelnionemu atakującemu wywołanie drobnego odczytu poza granicami bufora podczas wysyłania zniekształconych danych skompresowanych. Dane nie są ujawniane, a żądanie jest odrzucane.
- CVE-2026-12665Wysokie
IBM MQ może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu przepełnienia bufora stosu podczas przetwarzania certyfikatów TLS z nieprawidłowymi nazwami wyróżniającymi podczas ustanawiania połączenia kanału. Podatność występuje w procesie przetwarzania certyfikatów TLS.
- CVE-2026-12350Średnie
IBM MQ pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi poprzez wysłanie specjalnie spreparowanego asynchronicznego żądania konsumpcji, które powoduje awarię procesu agenta menedżera kolejek.
- CVE-2026-12343Średnie
IBM MQ pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi z powodu niewłaściwej walidacji pól nagłówka wiadomości RFH2 w operacjach publikacji/subskrypcji w kolejce.
- CVE-2026-12155Średnie
IBM MQ pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi poprzez wysłanie specjalnie spreparowanych komunikatów statusu multicast, które powodują dereferencję wskaźnika NULL.
- CVE-2026-11831Średnie
IBM MQ pozwala uwierzytelnionemu atakującemu wywołać ograniczoną odmowę usługi oraz uzyskać bardzo ograniczone informacje o układzie pamięci procesu z powodu odczytu poza granicami podczas przetwarzania specjalnie spreparowanego żądania klienta.
Oryginalny opis (angielski, źródło NVD)
IBM MQ could allow a remote attacker with queue manager control or man-in-the-middle access on unencrypted channels to cause a denial of service in client applications using asynchronous message consumption due to improper validation of queue name length values.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS