CVE-2026-16340
KrytyczneCVSS 9.8Streszczenie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 zawiera podatność polegającą na zapisie poza zakresem w parserze zakodowanych słów RFC2047, co może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze, co może prowadzić do pełnej kompromitacji systemu, naruszenia poufności danych i przerwania działania usług.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie IBM DataPower Gateway do wersji, w której podatność została naprawiona, oraz ograniczenie dostępu do systemu tylko dla zaufanych źródeł.
Inne podatności w IBM DataPower Gateway
Zobacz wszystkie- CVE-2026-14999Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na ominięcie uwierzytelniania przez sfałszowanie poprawnych podpisów JSON Web Signature z powodu nieprawidłowej weryfikacji podpisów kryptograficznych.
- CVE-2026-14905Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na atak XML external entity injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
- CVE-2026-14888Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu przepełnienia bufora opartego na stercie.
- CVE-2026-14507Wysokie
IBM DataPower Gateway w wersjach 11.0.0.0 do 11.0.0.2 zawiera podatność związaną z nieprawidłową alokacją pamięci podczas wyprowadzania kluczy kryptograficznych. Uwierzytelniony zdalny atakujący może wykorzystać tę wadę do wywołania odmowy usługi (DoS).
- CVE-2026-14497Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0–10.5.0.22, 10.6.1–10.6.6, 10.6.0.0–10.6.0.10 oraz 11.0.0.0–11.0.0.2 zawiera podatność wynikającą z nieprawidłowej weryfikacji podpisów kryptograficznych. Uwierzytelniony zdalny atakujący może obejść ograniczenia bezpieczeństwa.
- CVE-2026-14496Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0–10.5.0.22, 10.6.1–10.6.6, 10.6.0.0–10.6.0.10 oraz 11.0.0.0–11.0.0.2 zawiera przepełnienie bufora na stercie. Zdalny atakujący może wykorzystać tę wadę do wywołania odmowy usługi.
- CVE-2026-16167Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0–10.5.0.22, 10.6.1–10.6.6, 10.6.0.0–10.6.0.10 oraz 11.0.0.0–11.0.0.2 zawiera podatność wynikającą z nieprawidłowego sprawdzania granic. Zdalny atakujący może wywołać odmowę usługi.
- CVE-2026-16165Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu dereferencji wskaźnika null.
- CVE-2026-16164Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu przepełnienia bufora.
- CVE-2026-16163Wysokie
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na spowodowanie uszkodzenia pamięci z powodu zapisu poza dozwolony obszar.
Oryginalny opis (angielski, źródło NVD)
IBM DataPower Gateway 10.5.0.0 through 10.5.0.22, 10.6.1 through 10.6.6, 10.6.0.0 through 10.6.0.10, and 11.0.0.0 through 11.0.0.2 could allow a remote attacker to execute arbitrary code due to an out-of-bounds write in the RFC2047 encoded-word parser.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS