CVE-2026-12150
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
IBM MQ w wersjach 9.1, 9.2, 9.3, 9.4 oraz 10.0 zawiera podatność wynikającą z nieprawidłowej walidacji głęboko zagnieżdżonych danych certyfikatu podczas przetwarzania certyfikatów TLS. Zdalny atakujący z zaufanym certyfikatem klienta TLS może wywołać odmowę usługi i potencjalnie wpłynąć na zawartość pamięci.
Ocena ryzyka
Atakujący z zaufanym certyfikatem może sparaliżować usługę lub doprowadzić do wycieku danych z pamięci. Ryzyko obejmuje przerwy w działaniu i naruszenie poufności.
Rekomendacja
Zaktualizuj IBM MQ do najnowszej wersji z poprawką. Ogranicz zaufanie do certyfikatów klientów TLS i monitoruj nietypowe dane certyfikatów.
Inne podatności w IBM MQ
Zobacz wszystkie- CVE-2026-12351Krytyczne
IBM MQ w wersjach 9.3.0.0–9.3.0.41 LTS, 9.3.0.0–9.3.5.1 CD, 9.4.0.0–9.4.0.25 LTS, 9.4.0.0–9.4.5.1 LTS oraz 10.0.0.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niebezpiecznego przetwarzania wyszukiwania JNDI, gdy wdrożona jest aplikacja IVT.
- CVE-2026-11727Wysokie
IBM MQ dla HPE NonStop w wersjach 8.1.0 do 8.1.0.40, klient C, może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu z powodu nieprawidłowej walidacji odpowiedzi menedżera kolejek podczas żądania danych polityki AMS.
- CVE-2026-11726Wysokie
IBM MQ dla HPE NonStop w wersjach 8.1.0 do 8.1.0.40 może pozwolić uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji lub spowodowanie odmowy usługi z powodu nieprawidłowej walidacji wartości przesunięć nagłówka wiadomości.
- CVE-2026-11725Wysokie
IBM MQ może pozwolić uwierzytelnionemu atakującemu na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu z powodu przepełnienia liczby całkowitej w przetwarzaniu żądań MQINQ.
- CVE-2026-11716Wysokie
IBM MQ dla HPE NonStop w wersjach 8.1.0 do 8.1.0.40 może pozwolić uwierzytelnionemu atakującemu na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu podczas uruchamiania menedżera kolejek z powodu nieprawidłowej walidacji danych migracji klastra.
- CVE-2026-11381Wysokie
IBM MQ może pozwolić uwierzytelnionemu atakującemu na spowodowanie odmowy usługi lub potencjalnie wykonanie dowolnego kodu z powodu nieprawidłowej walidacji struktur list dystrybucyjnych wiadomości.
- CVE-2026-11378Wysokie
IBM MQ może pozwolić uwierzytelnionemu atakującemu na spowodowanie odmowy usługi lub potencjalnie wykonanie dowolnego kodu z powodu przepełnienia liczby całkowitej w przetwarzaniu list dystrybucyjnych.
- CVE-2026-11375Wysokie
IBM MQ zawiera przepełnienie bufora na stosie podczas przetwarzania identyfikatorów transakcji XA. Uwierzytelniony atakujący może wykorzystać tę lukę do wywołania odmowy usługi lub potencjalnie wykonania dowolnego kodu.
- CVE-2026-10853Wysokie
IBM MQ nieprawidłowo waliduje długości komunikatów poleceń klastra. Uwierzytelniony atakujący z dostępem do klastra może wywołać odmowę usługi lub potencjalnie wykonać dowolny kod.
- CVE-2026-10575Wysokie
IBM MQ zawiera przepełnienie bufora na stercie podczas przetwarzania operacji MQPUT z nieprawidłowymi nagłówkami dystrybucji. Uwierzytelniony atakujący może wywołać odmowę usługi lub potencjalnie podnieść uprawnienia.
Oryginalny opis (angielski, źródło NVD)
IBM MQ 9.1.0.0 through 9.1.0.37 LTS, 9.2.0.0 through 9.2.0.43 LTS, 9.3.0.0 through 9.3.0.41 LTS, 9.3.0.0 through 9.3.5.1 CD, 9.4.0.0 through 9.4.0.25 LTS, 9.4.0.0 through 9.4.5.1 CD, and 10.0.0.0 could allow a remote attacker with a trusted TLS client certificate to cause a denial of service and potentially affect memory contents due to improper validation of deeply nested certificate data during TLS certificate processing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS