CVE-2026-12728
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
IBM MQ w wersjach 9.1.0.0 do 9.1.0.37 LTS, 9.2.0.0 do 9.2.0.43 LTS, 9.3.0.0 do 9.3.0.41 LTS, 9.3.0.0 do 9.3.5.1 CD, 9.4.0.0 do 9.4.0.25 LTS, 9.4.0.0 do 9.4.5.1 CD oraz 10.0.0.0 zawiera lukę deserializacji niezaufanych danych. Uwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
Ocena ryzyka
Uwierzytelniony atakujący może zdalnie wykonać dowolny kod w kontekście serwera IBM MQ, przejmując kontrolę nad systemem przetwarzania komunikatów i potencjalnie uzyskując dostęp do innych zasobów organizacji.
Rekomendacja
Zaktualizuj IBM MQ do najnowszej wersji zawierającej poprawkę bezpieczeństwa. Ogranicz dostęp do serwera MQ wyłącznie do zaufanych klientów.
Inne podatności w IBM MQ
Zobacz wszystkie- CVE-2026-12351Krytyczne
IBM MQ w wersjach 9.3.0.0–9.3.0.41 LTS, 9.3.0.0–9.3.5.1 CD, 9.4.0.0–9.4.0.25 LTS, 9.4.0.0–9.4.5.1 LTS oraz 10.0.0.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niebezpiecznego przetwarzania wyszukiwania JNDI, gdy wdrożona jest aplikacja IVT.
- CVE-2026-11727Wysokie
IBM MQ dla HPE NonStop w wersjach 8.1.0 do 8.1.0.40, klient C, może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu z powodu nieprawidłowej walidacji odpowiedzi menedżera kolejek podczas żądania danych polityki AMS.
- CVE-2026-11726Wysokie
IBM MQ dla HPE NonStop w wersjach 8.1.0 do 8.1.0.40 może pozwolić uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji lub spowodowanie odmowy usługi z powodu nieprawidłowej walidacji wartości przesunięć nagłówka wiadomości.
- CVE-2026-11725Wysokie
IBM MQ może pozwolić uwierzytelnionemu atakującemu na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu z powodu przepełnienia liczby całkowitej w przetwarzaniu żądań MQINQ.
- CVE-2026-11716Wysokie
IBM MQ dla HPE NonStop w wersjach 8.1.0 do 8.1.0.40 może pozwolić uwierzytelnionemu atakującemu na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu podczas uruchamiania menedżera kolejek z powodu nieprawidłowej walidacji danych migracji klastra.
- CVE-2026-11381Wysokie
IBM MQ może pozwolić uwierzytelnionemu atakującemu na spowodowanie odmowy usługi lub potencjalnie wykonanie dowolnego kodu z powodu nieprawidłowej walidacji struktur list dystrybucyjnych wiadomości.
- CVE-2026-11378Wysokie
IBM MQ może pozwolić uwierzytelnionemu atakującemu na spowodowanie odmowy usługi lub potencjalnie wykonanie dowolnego kodu z powodu przepełnienia liczby całkowitej w przetwarzaniu list dystrybucyjnych.
- CVE-2026-11375Wysokie
IBM MQ zawiera przepełnienie bufora na stosie podczas przetwarzania identyfikatorów transakcji XA. Uwierzytelniony atakujący może wykorzystać tę lukę do wywołania odmowy usługi lub potencjalnie wykonania dowolnego kodu.
- CVE-2026-10853Wysokie
IBM MQ nieprawidłowo waliduje długości komunikatów poleceń klastra. Uwierzytelniony atakujący z dostępem do klastra może wywołać odmowę usługi lub potencjalnie wykonać dowolny kod.
- CVE-2026-10575Wysokie
IBM MQ zawiera przepełnienie bufora na stercie podczas przetwarzania operacji MQPUT z nieprawidłowymi nagłówkami dystrybucji. Uwierzytelniony atakujący może wywołać odmowę usługi lub potencjalnie podnieść uprawnienia.
Oryginalny opis (angielski, źródło NVD)
IBM MQ 9.1.0.0 through 9.1.0.37 LTS, 9.2.0.0 through 9.2.0.43 LTS, 9.3.0.0 through 9.3.0.41 LTS, 9.3.0.0 through 9.3.5.1 CD, 9.4.0.0 through 9.4.0.25 LTS, 9.4.0.0 through 9.4.5.1 CD, and 10.0.0.0 could allow an authenticated attacker to execute arbitrary code due to a deserialization of untrusted data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS