CVE-2026-14375
ŚrednieCVSS 5.9Streszczenie
IBM Storage Scale w wersjach 5.2.3.0 do 5.2.3.8 oraz 6.0.1.0 nie waliduje lub nieprawidłowo waliduje certyfikaty TLS podczas komunikacji ze zdalnymi interfejsami GUI klastra. Może to pozwolić atakującemu na wstrzyknięcie sfałszowanych odpowiedzi JSON za pomocą technik man-in-the-middle.
Ocena ryzyka
Atakujący w pozycji man-in-the-middle może podszyć się pod zdalny interfejs GUI klastra i dostarczyć sfałszowane dane. Może to prowadzić do błędnych konfiguracji lub działań podejmowanych na podstawie zmanipulowanych odpowiedzi.
Rekomendacja
Zaktualizuj IBM Storage Scale do wersji zawierającej poprawkę walidacji certyfikatów TLS. Do czasu aktualizacji ogranicz komunikację z interfejsami GUI klastra do zaufanych, izolowanych sieci.
Inne podatności w IBM Storage Scale
Zobacz wszystkie- CVE-2026-76052Średnie
IBM Storage Scale System oraz IBM Storage Scale w wymienionych wersjach pozwalają atakującemu wykorzystać nieudokumentowaną flagę do uzyskania dostępu do nieuwierzytelnionej ścieżki w interfejsie REST API.
- CVE-2026-14469Średnie
IBM Storage Scale 5.2.3.0–5.2.3.9 i 6.0.1.0 pozwala uwierzytelnionemu atakującemu na dostęp i manipulację zestawami plików poza jego kontrolą z powodu niewłaściwej autoryzacji.
- CVE-2026-14437Średnie
IBM Storage Scale 5.2.3.0–5.2.3.9 i 6.0.1.0 pozwala zdalnemu atakującemu na przechodzenie po katalogach systemu poprzez wysłanie specjalnie spreparowanego żądania URL zawierającego sekwencje "dot dot" (/../) w celu przeglądania dowolnych plików.
- CVE-2026-19483Wysokie
IBM Storage Scale w wersjach 5.2.3.0-5.2.3.8 oraz 6.0.0.0-6.0.1.0 zawiera podatność, w której sekrety mogą być ujawniane w plikach dziennika w GUI zarządzania. Hasło administratora jest zapisywane w dzienniku GUI podczas wdrażania i aktualizacji systemu z GUI. Ponadto sekrety mogą być ujawniane w informacjach o wyjątkach w GUI zarządzania.
- CVE-2026-13460Wysokie
IBM Storage Scale w wersjach 5.2.3.0 do 5.2.3.8 oraz 6.0.0.0 do 6.0.1.0 zawiera w kodzie źródłowym GUI zakodowany na stałe token, używany do komunikacji między węzłami klastra oraz do uwierzytelniania API REST między interfejsami GUI.
Oryginalny opis (angielski, źródło NVD)
IBM Storage Scale 5.2.3.0 through 5.2.3.8, and 6.0.1.0 does not validate or improperly validates TLS certificate validation when communicating with remote cluster GUI interfaces, which could allow an attacker to inject forged JSON responses using man in the middle techniques.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS