CVE-2026-33728
KrytyczneCVSS 9.8Streszczenie
Podatność w dd-trace-java, kliencie APM dla Javy, pozwala na deserializację danych bez zastosowania filtrów serializacji w wersjach od 0.40.0 do przed 1.60.2. Atakujący z dostępem do portu JMX lub RMI na instrumentowanej JVM może wykorzystać tę lukę do potencjalnego zdalnego wykonania kodu.
Ocena ryzyka
Organizacje mogą być narażone na zdalne wykonanie kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych. W szczególności, jeśli spełnione są określone warunki dotyczące konfiguracji i dostępności bibliotek.
Rekomendacja
Zaleca się aktualizację do wersji dd-trace-java 1.60.3 lub nowszej dla JDK w wersji od 8u121 do przed 17. Dla JDK 16 i wcześniejszych, należy zastosować obejście, ustawiając zmienną środowiskową `DD_INTEGRATION_RMI_ENABLED=false`.
Powiązane podatności
- CVE-2026-9209Krytyczne
mJobTime do wersji 15.7.3.32 zawiera nieuwierzytelnioną podatność na wykonanie SQL w panelu administracyjnym Login.aspx, gdzie przyciski runQueryButton i exportSqlQuery_Server wykonują SQL dostarczony przez wywołującego na bazie Sybase SQL Anywhere z uprawnieniami DBA/sysadmin, bez wymaganego uwierzytelnienia po stronie serwera. Atakujący może wysłać dowolne zapytania SQL, aby wywołać xp_cmdshell i xp_read_file, uzyskując zdalne wykonanie kodu przed uwierzytelnieniem jako LocalSystem.
- CVE-2026-14992Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na przepełnienie bufora.
- CVE-2026-14502Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu uzyskać dostęp administracyjny z powodu braku odrzucania pustych haseł podczas uwierzytelniania LDAP.
- CVE-2026-14269Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na przepełnienie bufora na stercie z powodu niewłaściwej kontroli granic. Nieuwierzytelniony zdalny atakujący może przepełnić bufor i wykonać dowolny kod na systemie.
- CVE-2026-107640Krytyczne
Integrics Enswitch w wersjach od 3.13 do 4.4 zawiera podatność na obejście uwierzytelnienia w /api/json/user/password/update/, która pozwala nieuwierzytelnionym atakującym zmieniać hasła kont poprzez pominięcie parametru reset. Atakujący mogą przejąć konta administratorów po enumeracji prawidłowych nazw użytkowników.
- CVE-2026-15762Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu zapisu poza zakresem.
- CVE-2026-14991Krytyczne
IBM DataPower Gateway w wersjach 10.5.0.0 do 10.5.0.22, 10.6.1 do 10.6.6, 10.6.0.0 do 10.6.0.10 oraz 11.0.0.0 do 11.0.0.2 jest podatny na przepełnienie bufora z powodu niewłaściwej kontroli granic. Lokalny użytkownik może przepełnić bufor i wykonać dowolny kod na systemie.
- CVE-2026-14990Krytyczne
IBM DataPower Gateway w wersjach 10.6.0.0 do 10.6.0.10 jest podatny na cross-site scripting. Podatność pozwala nieuwierzytelnionemu użytkownikowi osadzić dowolny kod JavaScript w interfejsie webowym, co może prowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.
- CVE-2026-103663Krytyczne
Ollama jest podatny na path traversal w endpointcie /api/pull z powodu niewystarczającej walidacji digestów warstw przez funkcję digestToPath. Nieuwierzytelniony zdalny atakujący może podać sekwencję path traversal jako digest warstwy, co powoduje zapis złośliwego pliku poza katalogiem modeli. Jeśli proces serwera ma prawo zapisu do /usr/lib/ollama (domyślnie w obrazach Docker), atakujący może zapisać złośliwy plik, który zostanie wykonany przy restarcie serwera, co prowadzi do zdalnego wykonania kodu jako root. Problem naprawiono w wersji 0.35.0.
- CVE-2026-19218Krytyczne
Słaby mechanizm odzyskiwania hasła w MyRezzta firmy AKIN Software pozwala na wykorzystanie procesu odzyskiwania hasła. Podatność dotyczy wersji od 2.06.03 do przed 2.07.01.
Oryginalny opis (angielski, źródło NVD)
dd-trace-java is a Datadog APM client for Java. In versions of dd-trace-java 0.40.0 through prior to 1.60.2, the RMI instrumentation registered a custom endpoint that deserialized incoming data without applying serialization filters. On JDK version 16 and earlier, an attacker with network access to a JMX or RMI port on an instrumented JVM could exploit this to potentially achieve remote code execution. All three of the following conditions must be true to exploit this vulnerability: First, dd-trace-java is attached as a Java agent (`-javaagent`) on Java 16 or earlier. Second, a JMX/RMI port has been explicitly configured via `-Dcom.sun.management.jmxremote.port` and is network-reachable, Third, a gadget-chain-compatible library is present on the classpath. For JDK >= 17, no action is required, but upgrading is strongly encouraged. For JDK >= 8u121 < JDK 17, upgrade to dd-trace-java version 1.60.3 or later. For JDK < 8u121 and earlier where serialization filters are not available, apply the workaround. The workaround is to set the following environment variable to disable the RMI integration: `DD_INTEGRATION_RMI_ENABLED=false`.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS