CVE-2026-7366
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
IBM DataPower Gateway w wersjach 11.0.0.0-11.0.0.1, 10.5.0.0-10.5.0.21 i 10.6.0.0-10.6.0.9 ma problem z wyścigiem, który powoduje nieprawidłową izolację stanu żądań podczas obsługi wbudowanego nagłówka X-Client-IP. Przy równoczesnym przetwarzaniu żądań wartości X-Client-IP mogą być mieszane między żądaniami, co umożliwia fałszowanie adresu IP i ujawnianie adresów IP innych klientów.
Ocena ryzyka
Możliwość fałszowania adresu IP i ujawniania adresów IP klientów może prowadzić do naruszenia poufności i integralności danych, a także do ataków typu spoofing.
Rekomendacja
Zaktualizuj IBM DataPower Gateway do wersji zawierającej poprawkę. Przeanalizuj konfigurację pod kątem użycia nagłówka X-Client-IP i rozważ jego wyłączenie, jeśli nie jest wymagany.
Oryginalny opis (angielski, źródło NVD)
IBM DataPower Gateway 11.0.0.0 through 11.0.0.1 and IBM DataPower Gateway 10.5.0.0 through 10.5.0.21 and IBM DataPower Gateway 10.6.0.0 through 10.6.0.9 allows a race condition that results in improper isolation of request state when handling the built‑in X‑Client‑IP header. Under concurrent request processing, X‑Client‑IP values may be contaminated across requests, enabling IP spoofing and disclosure of other clients’ IP addresses.