CVE-2026-12665
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
IBM MQ może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu przepełnienia bufora stosu podczas przetwarzania certyfikatów TLS z nieprawidłowymi nazwami wyróżniającymi podczas ustanawiania połączenia kanału. Podatność występuje w procesie przetwarzania certyfikatów TLS.
Ocena ryzyka
Zdalny atakujący może wykonać dowolny kod w kontekście IBM MQ, co może prowadzić do przejęcia systemu i naruszenia poufności, integralności i dostępności. Ryzyko dotyczy serwerów IBM MQ z włączonym TLS.
Rekomendacja
Zaktualizuj IBM MQ do najnowszej wersji zawierającej poprawkę. Rozważ ograniczenie dostępu do portów TLS IBM MQ do zaufanych sieci.
Inne podatności w IBM MQ
Zobacz wszystkie- CVE-2026-12351Krytyczne
IBM MQ w wersjach 9.3.0.0–9.3.0.41 LTS, 9.3.0.0–9.3.5.1 CD, 9.4.0.0–9.4.0.25 LTS, 9.4.0.0–9.4.5.1 LTS oraz 10.0.0.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niebezpiecznego przetwarzania wyszukiwania JNDI, gdy wdrożona jest aplikacja IVT.
- CVE-2026-14511Średnie
IBM MQ w wersjach od 9.4.5.0 do 9.4.5.1 może umożliwić uwierzytelnionemu użytkownikowi wywołanie odmowy usługi poprzez wysłanie specjalnie spreparowanej wiadomości, która powoduje awarię aplikacji konsumujących. Skutkiem jest naruszenie dostępności.
- CVE-2026-12727Średnie
IBM MQ może umożliwić uwierzytelnionemu atakującemu spowodowanie niestabilności procesu z powodu przepełnienia bufora typu off-by-one podczas przetwarzania specjalnie spreparowanych nazw obiektów. Może to prowadzić do zakłócenia działania usługi.
- CVE-2026-12670Średnie
IBM MQ zawiera podatność, która pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi poprzez specjalnie spreparowaną wiadomość powodującą nadmierne operacje pamięciowe podczas konwersji zestawu znaków.
- CVE-2026-12669Niskie
IBM MQ może umożliwić uwierzytelnionemu atakującemu wywołanie drobnego odczytu poza granicami bufora podczas wysyłania zniekształconych danych skompresowanych. Dane nie są ujawniane, a żądanie jest odrzucane.
- CVE-2026-12350Średnie
IBM MQ pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi poprzez wysłanie specjalnie spreparowanego asynchronicznego żądania konsumpcji, które powoduje awarię procesu agenta menedżera kolejek.
- CVE-2026-12343Średnie
IBM MQ pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi z powodu niewłaściwej walidacji pól nagłówka wiadomości RFH2 w operacjach publikacji/subskrypcji w kolejce.
- CVE-2026-12155Średnie
IBM MQ pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi poprzez wysłanie specjalnie spreparowanych komunikatów statusu multicast, które powodują dereferencję wskaźnika NULL.
- CVE-2026-11831Średnie
IBM MQ pozwala uwierzytelnionemu atakującemu wywołać ograniczoną odmowę usługi oraz uzyskać bardzo ograniczone informacje o układzie pamięci procesu z powodu odczytu poza granicami podczas przetwarzania specjalnie spreparowanego żądania klienta.
- CVE-2026-11829Średnie
IBM MQ pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi z powodu niewłaściwej walidacji wartości przesunięcia w żądaniach MQOPEN.
Oryginalny opis (angielski, źródło NVD)
IBM MQ could allow a remote attacker to execute arbitrary code due to a stack buffer overflow when processing TLS certificates with malformed distinguished names during channel connection establishment.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS