CVE-2026-86093
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 może pozwolić atakującemu kontrolującemu lub podszywającemu się pod endpoint serwera DRDA na wykonanie dowolnych poleceń na klientach Db2 w wyniku przepełnienia bufora na stosie.
Ocena ryzyka
Atakujący może wykonać dowolny kod na stacjach roboczych z klientem Db2, co prowadzi do przejęcia kontroli nad systemem.
Rekomendacja
Należy zaktualizować IBM Db2 do wersji zawierającej poprawkę oraz stosować uwierzytelnianie i szyfrowanie połączeń DRDA.
Inne podatności w IBM Db2
Zobacz wszystkie- CVE-2015-1935Wysokie
Implementacja funkcji skalarnej w IBM DB2 w wersjach 9.7 do FP10, 9.8 do FP5, 10.1 przed FP5 oraz 10.5 do FP5 na systemach Linux, UNIX i Windows umożliwia zdalnym atakującym spowodowanie odmowy usługi lub wykonanie dowolnego kodu poprzez nieokreślone wektory.
- CVE-2014-3094Wysokie
W IBM DB2 występuje przepełnienie bufora na stosie, które dotyczy wersji 9.7 do FP9a, 9.8 do FP5, 10.1 do FP4 oraz 10.5 przed FP4 na systemach Linux, UNIX i Windows. Umożliwia to zdalnym, uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez spreparowane polecenie ALTER MODULE.
- CVE-2014-0907Wysokie
Wiele podatności związanych z niezaufanymi ścieżkami wyszukiwania w programach setuid i setgid w IBM DB2 9.5, 9.7 przed FP9a, 9.8, 10.1 przed FP3a oraz 10.5 przed FP3a na systemach Linux i UNIX. Umożliwia to lokalnym użytkownikom uzyskanie uprawnień roota za pomocą złośliwej biblioteki.
- CVE-2013-6744Wysokie
Infrastruktura procedur składowanych w IBM DB2 w wersjach 9.5, 9.7 przed FP9a, 10.1 przed FP3a oraz 10.5 przed FP3a na systemie Windows umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie uprawnienia CONNECT oraz autoryzacji CREATE_EXTERNAL_ROUTINE.
- CVE-2026-10109Krytyczne
IBM Db2 w wersjach 11.5.0-11.5.9 oraz 12.1.0-12.1.4 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej obsługi uzgadniania DRDA przed uwierzytelnieniem.
- CVE-2026-17463Średnie
IBM Db2 w wersjach 11.5.0-11.5.9 i 12.1.0-12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić zdalnemu uwierzytelnionemu atakującemu na spowodowanie odmowy usługi z powodu niekontrolowanego zużycia zasobów.
- CVE-2026-16702Średnie
IBM Db2 w wersjach 11.5.0-11.5.9 i 12.1.0-12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może pozwolić zdalnemu uwierzytelnionemu atakującemu na spowodowanie odmowy usługi z powodu wyłuskania wskaźnika null.
- CVE-2026-15955Wysokie
IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.5 zawiera podatność polegającą na niewłaściwej walidacji ścieżek plików. Zdalny atakujący może w wyniku tego zapisać dowolne pliki.
- CVE-2026-87958Wysokie
IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na odmowę usługi, w której określona funkcjonalność serwera Db2 może zostać wyłączona przez uprzywilejowanego użytkownika w pewnych warunkach.
- CVE-2026-86087Średnie
IBM Db2 w wersjach od 11.5.0 do 11.5.9 oraz od 12.1.0 do 12.1.5 może pozwolić uwierzytelnionemu użytkownikowi na wysłanie specjalnie spreparowanego żądania w celu zapisu dowolnych plików w systemie.
Oryginalny opis (angielski, źródło NVD)
IBM Db2 11.5.0 through 11.5.9, and 12.1.0 through 12.1.5 could allow an attacker with the ability to control or impersonate a DRDA server endpoint to execute arbitrary commands on Db2 clients due to a stack-based buffer overflow that improperly copies user-controlled data into a fixed-size stack buffer without bounds checking.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS