CVE-2026-86087
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
IBM Db2 w wersjach od 11.5.0 do 11.5.9 oraz od 12.1.0 do 12.1.5 może pozwolić uwierzytelnionemu użytkownikowi na wysłanie specjalnie spreparowanego żądania w celu zapisu dowolnych plików w systemie.
Ocena ryzyka
Uwierzytelniony atakujący może zapisać dowolne pliki w systemie, co może prowadzić do naruszenia integralności danych, a w skrajnych przypadkach do wykonania kodu lub eskalacji uprawnień. Stanowi to poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaktualizuj IBM Db2 do wersji zawierającej poprawkę (nowszej niż 11.5.9 lub 12.1.5). Ogranicz uprawnienia użytkowników bazy danych i monitoruj nietypowe operacje zapisu plików.
Inne podatności w IBM Db2
Zobacz wszystkie- CVE-2015-1935Wysokie
Implementacja funkcji skalarnej w IBM DB2 w wersjach 9.7 do FP10, 9.8 do FP5, 10.1 przed FP5 oraz 10.5 do FP5 na systemach Linux, UNIX i Windows umożliwia zdalnym atakującym spowodowanie odmowy usługi lub wykonanie dowolnego kodu poprzez nieokreślone wektory.
- CVE-2014-3094Wysokie
W IBM DB2 występuje przepełnienie bufora na stosie, które dotyczy wersji 9.7 do FP9a, 9.8 do FP5, 10.1 do FP4 oraz 10.5 przed FP4 na systemach Linux, UNIX i Windows. Umożliwia to zdalnym, uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez spreparowane polecenie ALTER MODULE.
- CVE-2014-0907Wysokie
Wiele podatności związanych z niezaufanymi ścieżkami wyszukiwania w programach setuid i setgid w IBM DB2 9.5, 9.7 przed FP9a, 9.8, 10.1 przed FP3a oraz 10.5 przed FP3a na systemach Linux i UNIX. Umożliwia to lokalnym użytkownikom uzyskanie uprawnień roota za pomocą złośliwej biblioteki.
- CVE-2013-6744Wysokie
Infrastruktura procedur składowanych w IBM DB2 w wersjach 9.5, 9.7 przed FP9a, 10.1 przed FP3a oraz 10.5 przed FP3a na systemie Windows umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie uprawnienia CONNECT oraz autoryzacji CREATE_EXTERNAL_ROUTINE.
- CVE-2026-10109Krytyczne
IBM Db2 w wersjach 11.5.0-11.5.9 oraz 12.1.0-12.1.4 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej obsługi uzgadniania DRDA przed uwierzytelnieniem.
- CVE-2026-17463Średnie
IBM Db2 w wersjach 11.5.0-11.5.9 i 12.1.0-12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić zdalnemu uwierzytelnionemu atakującemu na spowodowanie odmowy usługi z powodu niekontrolowanego zużycia zasobów.
- CVE-2026-16702Średnie
IBM Db2 w wersjach 11.5.0-11.5.9 i 12.1.0-12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić zdalnemu uwierzytelnionemu atakującemu na spowodowanie odmowy usługi z powodu wyłuskania wskaźnika null.
- CVE-2026-15955Wysokie
IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.5 zawiera podatność polegającą na niewłaściwej walidacji ścieżek plików. Zdalny atakujący może w wyniku tego zapisać dowolne pliki.
- CVE-2026-87958Wysokie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na odmowę usługi, w której określona funkcjonalność serwera Db2 może zostać wyłączona przez uprzywilejowanego użytkownika w pewnych warunkach.
- CVE-2026-86093Wysokie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 może pozwolić atakującemu kontrolującemu lub podszywającemu się pod endpoint serwera DRDA na wykonanie dowolnych poleceń na klientach Db2 w wyniku przepełnienia bufora na stosie.
Oryginalny opis (angielski, źródło NVD)
IBM Db2 11.5.0 through 11.5.9, and 12.1.0 through 12.1.5 could allow an authenticated user to send a specially crafted request to write arbitrary files on the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS