CVE-2026-18166
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie informacji wrażliwych z powodu niewłaściwej autoryzacji przy użyciu polecenia CREATE WRAPPER.
Ocena ryzyka
Atakujący z ważnymi poświadczeniami może uzyskać dostęp do informacji, do których nie powinien mieć uprawnień. Może to prowadzić do ujawnienia danych i naruszenia poufności środowiska bazodanowego.
Rekomendacja
Zastosuj dostępne poprawki IBM dla Db2 obejmujące wersje 11.5.x i 12.1.x. Ogranicz uprawnienia do polecenia CREATE WRAPPER do niezbędnego minimum.
Inne podatności w IBM Db2
Zobacz wszystkie- CVE-2015-1935Wysokie
Implementacja funkcji skalarnej w IBM DB2 w wersjach 9.7 do FP10, 9.8 do FP5, 10.1 przed FP5 oraz 10.5 do FP5 na systemach Linux, UNIX i Windows umożliwia zdalnym atakującym spowodowanie odmowy usługi lub wykonanie dowolnego kodu poprzez nieokreślone wektory.
- CVE-2014-3094Wysokie
W IBM DB2 występuje przepełnienie bufora na stosie, które dotyczy wersji 9.7 do FP9a, 9.8 do FP5, 10.1 do FP4 oraz 10.5 przed FP4 na systemach Linux, UNIX i Windows. Umożliwia to zdalnym, uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez spreparowane polecenie ALTER MODULE.
- CVE-2014-0907Wysokie
Wiele podatności związanych z niezaufanymi ścieżkami wyszukiwania w programach setuid i setgid w IBM DB2 9.5, 9.7 przed FP9a, 9.8, 10.1 przed FP3a oraz 10.5 przed FP3a na systemach Linux i UNIX. Umożliwia to lokalnym użytkownikom uzyskanie uprawnień roota za pomocą złośliwej biblioteki.
- CVE-2013-6744Wysokie
Infrastruktura procedur składowanych w IBM DB2 w wersjach 9.5, 9.7 przed FP9a, 10.1 przed FP3a oraz 10.5 przed FP3a na systemie Windows umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie uprawnienia CONNECT oraz autoryzacji CREATE_EXTERNAL_ROUTINE.
- CVE-2026-10109Krytyczne
IBM Db2 w wersjach 11.5.0-11.5.9 oraz 12.1.0-12.1.4 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej obsługi uzgadniania DRDA przed uwierzytelnieniem.
- CVE-2026-104364Niskie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 może pozwolić lokalnemu atakującemu na spowodowanie odmowy usługi z powodu nieprawidłowej walidacji danych wejściowych.
- CVE-2026-104332Średnie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na atak typu odmowa usługi (DoS) podczas wykonywania specjalnie spreparowanego zapytania z użyciem tabeli zmaterializowanej (Materialized Query Table).
- CVE-2026-78404Średnie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na lokalną eskalację uprawnień za pomocą narzędzia db2pd.
- CVE-2026-105466Średnie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na atak typu denial of service (odmowa usługi) podczas wstawiania danych do tabeli z kolumnami XML w określonych warunkach. Podatność może prowadzić do niedostępności usługi.
- CVE-2026-105465Wysokie
IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.5 jest podatny na eskalację uprawnień, gdy db2locssh jest włączone w instancji db2. Luka pozwala atakującemu na uzyskanie wyższych uprawnień w systemie.
Oryginalny opis (angielski, źródło NVD)
IBM Db2 11.5.0 through 11.5.9, and 12.1.0 through 12.1.5 for Linux, UNIX and Windows (includes DB2 Connect Server) could allow a remote authenticated attacker to obtain sensitive information due to improper authorization when using the CREATE WRAPPER command.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS