CVE-2026-16179
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 zawiera podatność na niedomiar bufora sterty (heap buffer underwrite), co może pozwolić atakującemu na spowodowanie awarii usługi.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do spowodowania awarii bramy, co prowadzi do przerwania dostępności usług.
Rekomendacja
Zaleca się aktualizację IBM DataPower Gateway do wersji zawierającej poprawkę oraz monitorowanie systemu pod kątem nietypowych zachowań.
Inne podatności w IBM DataPower Gateway
Zobacz wszystkie- CVE-2026-14992Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na przepełnienie bufora.
- CVE-2026-14502Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu uzyskać dostęp administracyjny z powodu braku odrzucania pustych haseł podczas uwierzytelniania LDAP.
- CVE-2026-14269Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na przepełnienie bufora na stercie z powodu niewłaściwej kontroli granic. Nieuwierzytelniony zdalny atakujący może przepełnić bufor i wykonać dowolny kod na systemie.
- CVE-2026-15762Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu zapisu poza zakresem.
- CVE-2026-14991Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na przepełnienie bufora z powodu niewłaściwej kontroli granic. Lokalny użytkownik może przepełnić bufor i wykonać dowolny kod na systemie.
- CVE-2026-14990Krytyczne
IBM DataPower Gateway w wersjach 10.6.0.0 do 10.6.0.10 jest podatny na cross-site scripting. Podatność pozwala nieuwierzytelnionemu użytkownikowi osadzić dowolny kod JavaScript w interfejsie webowym, co może prowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.
- CVE-2026-16340Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 zawiera podatność polegającą na zapisie poza zakresem w parserze zakodowanych słów RFC2047, co może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2026-14999Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na ominięcie uwierzytelniania przez sfałszowanie poprawnych podpisów JSON Web Signature z powodu nieprawidłowej weryfikacji podpisów kryptograficznych.
- CVE-2026-14988Średnie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na przepełnienie bufora.
- CVE-2026-14905Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na atak XML external entity injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
Oryginalny opis (angielski, źródło NVD)
IBM DataPower Gateway 10.5.0.0 through 10.5.0.22, 10.6.1 through 10.6.6, 10.6.0.0 through 10.6.0.10, and 11.0.0.0 through 11.0.0.2 could allow an attacker to cause a heap buffer underwrite and potentially crash the service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS