CVE-2026-14502
KrytyczneCVSS 9.8Streszczenie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu uzyskać dostęp administracyjny z powodu braku odrzucania pustych haseł podczas uwierzytelniania LDAP.
Ocena ryzyka
Atakujący może uzyskać uprawnienia administracyjne bez znajomości hasła, co może prowadzić do pełnej kompromitacji urządzenia i danych.
Rekomendacja
Należy skonfigurować serwer LDAP tak, aby odrzucał puste hasła, oraz zastosować poprawki od IBM.
Inne podatności w IBM DataPower Gateway
Zobacz wszystkie- CVE-2026-14999Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na ominięcie uwierzytelniania przez sfałszowanie poprawnych podpisów JSON Web Signature z powodu nieprawidłowej weryfikacji podpisów kryptograficznych.
- CVE-2026-14905Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na atak XML external entity injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
- CVE-2026-14888Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu przepełnienia bufora opartego na stercie.
- CVE-2026-14507Wysokie
IBM DataPower Gateway w wersjach 11.0.0.0 do 11.0.0.2 zawiera podatność związaną z nieprawidłową alokacją pamięci podczas wyprowadzania kluczy kryptograficznych. Uwierzytelniony zdalny atakujący może wykorzystać tę wadę do wywołania odmowy usługi (DoS).
- CVE-2026-14497Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0–10.5.0.22, 10.6.1–10.6.6, 10.6.0.0–10.6.0.10 oraz 11.0.0.0–11.0.0.2 zawiera podatność wynikającą z nieprawidłowej weryfikacji podpisów kryptograficznych. Uwierzytelniony zdalny atakujący może obejść ograniczenia bezpieczeństwa.
- CVE-2026-14496Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0–10.5.0.22, 10.6.1–10.6.6, 10.6.0.0–10.6.0.10 oraz 11.0.0.0–11.0.0.2 zawiera przepełnienie bufora na stercie. Zdalny atakujący może wykorzystać tę wadę do wywołania odmowy usługi.
- CVE-2026-16167Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0–10.5.0.22, 10.6.1–10.6.6, 10.6.0.0–10.6.0.10 oraz 11.0.0.0–11.0.0.2 zawiera podatność wynikającą z nieprawidłowego sprawdzania granic. Zdalny atakujący może wywołać odmowę usługi.
- CVE-2026-16165Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu dereferencji wskaźnika null.
- CVE-2026-16164Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu przepełnienia bufora.
- CVE-2026-16163Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na spowodowanie uszkodzenia pamięci z powodu zapisu poza dozwolony obszar.
Oryginalny opis (angielski, źródło NVD)
IBM DataPower Gateway 10.5.0.0 through 10.5.0.22, 10.6.1 through 10.6.6, 10.6.0.0 through 10.6.0.10, and 11.0.0.0 through 11.0.0.2 could allow a remote attacker to obtain administrative access due to failure to reject empty passwords during LDAP authentication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS