CVE-2026-11906
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
IBM Db2 w wersjach 11.5.0-11.5.9 oraz 12.1.0-12.1.4 dla systemów Linux, UNIX i Windows (w tym Db2 Connect Server) zawiera podatność na atak DoS. Uwierzytelniony użytkownik może wykorzystać nieprawidłową neutralizację specjalnych elementów w logice zapytań danych dla kolumn pochodzących z XMLTable, powodując odmowę usługi.
Ocena ryzyka
Ryzyko polega na możliwości przerwania działania bazy danych przez uwierzytelnionego użytkownika, co może prowadzić do niedostępności krytycznych aplikacji biznesowych opartych na IBM Db2.
Rekomendacja
Zaleca się natychmiastową aktualizację IBM Db2 do wersji 11.5.10 lub nowszej (dla serii 11.5) oraz 12.1.5 lub nowszej (dla serii 12.1). Jeśli aktualizacja nie jest możliwa, należy ograniczyć uprawnienia użytkowników do wykonywania zapytań XMLTable.
Inne podatności w IBM Db2
Zobacz wszystkie- CVE-2015-1935Wysokie
Implementacja funkcji skalarnej w IBM DB2 w wersjach 9.7 do FP10, 9.8 do FP5, 10.1 przed FP5 oraz 10.5 do FP5 na systemach Linux, UNIX i Windows umożliwia zdalnym atakującym spowodowanie odmowy usługi lub wykonanie dowolnego kodu poprzez nieokreślone wektory.
- CVE-2014-3094Wysokie
W IBM DB2 występuje przepełnienie bufora na stosie, które dotyczy wersji 9.7 do FP9a, 9.8 do FP5, 10.1 do FP4 oraz 10.5 przed FP4 na systemach Linux, UNIX i Windows. Umożliwia to zdalnym, uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez spreparowane polecenie ALTER MODULE.
- CVE-2014-0907Wysokie
Wiele podatności związanych z niezaufanymi ścieżkami wyszukiwania w programach setuid i setgid w IBM DB2 9.5, 9.7 przed FP9a, 9.8, 10.1 przed FP3a oraz 10.5 przed FP3a na systemach Linux i UNIX. Umożliwia to lokalnym użytkownikom uzyskanie uprawnień roota za pomocą złośliwej biblioteki.
- CVE-2013-6744Wysokie
Infrastruktura procedur składowanych w IBM DB2 w wersjach 9.5, 9.7 przed FP9a, 10.1 przed FP3a oraz 10.5 przed FP3a na systemie Windows umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie uprawnienia CONNECT oraz autoryzacji CREATE_EXTERNAL_ROUTINE.
- CVE-2026-10109Krytyczne
IBM Db2 w wersjach 11.5.0-11.5.9 oraz 12.1.0-12.1.4 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej obsługi uzgadniania DRDA przed uwierzytelnieniem.
- CVE-2026-10534Wysokie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na przepełnienie bufora w parserze IXF IMPORT.
- CVE-2026-18097Średnie
IBM Db2 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może umożliwić lokalnemu atakującemu uzyskanie wrażliwych informacji z powodu logowania haseł w postaci zwykłego tekstu w plikach śledzenia.
- CVE-2026-18096Niskie
IBM Db2 12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić lokalnemu atakującemu na spowodowanie odmowy usługi z powodu wycieku pamięci.
- CVE-2026-16480Średnie
IBM Db2 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest dotknięty podatnością nieprawidłowej autoryzacji w pewnym poleceniu, umożliwiającą nieuprzywilejowanemu użytkownikowi ominięcie kontroli uprawnień i modyfikację danych katalogu bazy danych.
- CVE-2026-10543Wysokie
IBM Db2 w wersjach od 11.5.0 do 11.5.9 oraz od 12.1.0 do 12.1.5 jest podatny na eskalację uprawnień za pomocą specjalnie spreparowanego zapytania.
Oryginalny opis (angielski, źródło NVD)
IBM Db2 11.5.0 through 11.5.9, and 12.1.0 through 12.1.4 for Linux, UNIX and Windows (includes Db2 Connect Server) could allow an authenticated user to cause a denial of service due to improper neutralization of special elements in the data query logic of XMLTable-derived columns.