CVE-2026-14497
WysokieCVSS 8.1Streszczenie
IBM DataPower Gateway w wersjach 10.5.0.0–10.5.0.22, 10.6.1–10.6.6, 10.6.0.0–10.6.0.10 oraz 11.0.0.0–11.0.0.2 zawiera podatność wynikającą z nieprawidłowej weryfikacji podpisów kryptograficznych. Uwierzytelniony zdalny atakujący może obejść ograniczenia bezpieczeństwa.
Ocena ryzyka
Obejście weryfikacji podpisów może pozwolić atakującemu na podszywanie się pod zaufane podmioty lub wstrzykiwanie nieautoryzowanych danych, co podważa integralność chronionych transakcji.
Rekomendacja
Zaktualizuj IBM DataPower Gateway do najnowszej wersji z poprawką i zweryfikuj konfigurację zaufanych certyfikatów oraz polityk podpisywania.
Inne podatności w IBM DataPower Gateway
Zobacz wszystkie- CVE-2026-14999Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na ominięcie uwierzytelniania przez sfałszowanie poprawnych podpisów JSON Web Signature z powodu nieprawidłowej weryfikacji podpisów kryptograficznych.
- CVE-2026-14905Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na atak XML external entity injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
- CVE-2026-14888Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu przepełnienia bufora opartego na stercie.
- CVE-2026-14507Wysokie
IBM DataPower Gateway w wersjach 11.0.0.0 do 11.0.0.2 zawiera podatność związaną z nieprawidłową alokacją pamięci podczas wyprowadzania kluczy kryptograficznych. Uwierzytelniony zdalny atakujący może wykorzystać tę wadę do wywołania odmowy usługi (DoS).
- CVE-2026-14496Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0–10.5.0.22, 10.6.1–10.6.6, 10.6.0.0–10.6.0.10 oraz 11.0.0.0–11.0.0.2 zawiera przepełnienie bufora na stercie. Zdalny atakujący może wykorzystać tę wadę do wywołania odmowy usługi.
- CVE-2026-16167Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0–10.5.0.22, 10.6.1–10.6.6, 10.6.0.0–10.6.0.10 oraz 11.0.0.0–11.0.0.2 zawiera podatność wynikającą z nieprawidłowego sprawdzania granic. Zdalny atakujący może wywołać odmowę usługi.
- CVE-2026-16165Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu dereferencji wskaźnika null.
- CVE-2026-16164Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu przepełnienia bufora.
- CVE-2026-16163Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na spowodowanie uszkodzenia pamięci z powodu zapisu poza dozwolony obszar.
- CVE-2026-16161Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu odczytu poza dozwolony obszar.
Oryginalny opis (angielski, źródło NVD)
IBM DataPower Gateway 10.5.0.0 through 10.5.0.22, 10.6.1 through 10.6.6, 10.6.0.0 through 10.6.0.10, and 11.0.0.0 through 11.0.0.2 could allow a remote authenticated attacker to bypass security restrictions due to improper verification of cryptographic signatures.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS