IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 und 11.0.0.0 bis 11.0.0.2 enthält einen heap-basierten Pufferüberlauf (CWE-122). Gemäss CVE-Eintrag kann ein entfernter Angreifer diesen ohne Authentifizierung ausnutzen, um beliebigen Code auszuführen, was volle Kontrolle über das Gateway bedeuten könnte. Der CVSS-Basiswert laut CVE-Eintrag beträgt 9.8 (KRITISCH).
IBM · DataPower Gateway
Recherche und Übersetzung laufen – in Kürze hier.
Ein Use-after-free-Fehler (CWE-416) in IBM DataPower Gateway kann aus der Ferne ausgelöst werden. Laut IBM-Vektor ist keine Authentifizierung nötig, die Angriffskomplexität ist jedoch hoch. Ein erfolgreicher Angriff kann den Dienst zum Absturz bringen (Denial of Service) und vertrauliche Informationen offenlegen. IBM stuft die Schwachstelle mit 6.5 (Mittel) ein, der hier angegebene NVD-Eintrag zeigt 9.1 (Kritisch).
IBM · DataPower Gateway
Recherche und Übersetzung laufen – in Kürze hier.
IBM DataPower Gateway weist in den betroffenen Versionen leere Passwörter bei der LDAP-Authentifizierung nicht zurück. Ein entfernter Angreifer kann so ohne gültige Zugangsdaten, ohne vorherige Berechtigungen und ohne Benutzerinteraktion administrativen Zugriff erlangen. NVD bewertet die Schwachstelle mit CVSS 9.8 (Kritisch) und ordnet sie CWE-287 (Improper Authentication) zu.
IBM · DataPower Gateway
IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.1 bis 10.6.6, 10.6.0.0 bis 10.6.0.10 und 11.0.0.0 bis 11.0.0.2 prüft kryptografische Signaturen nicht korrekt. Ein entfernter Angreifer mit gültigen Zugangsdaten mit niedrigen Berechtigungen kann Sicherheitsbeschränkungen umgehen, mit hohen Auswirkungen auf Vertraulichkeit und Integrität. IBM stuft die Lücke mit CVSS 8.1 ein.
IBM · DataPower Gateway
Die IBM DataPower Gateway Versionen 10.5.0.0 bis 10.5.0.22, 10.6.1 bis 10.6.6, 10.6.0.0 bis 10.6.0.10 und 11.0.0.0 bis 11.0.0.2 enthalten einen heap-basierten Pufferüberlauf. Ein entfernter, nicht authentifizierter Angreifer kann diesen ohne Benutzerinteraktion ausnutzen, um den Gateway-Dienst zum Absturz zu bringen oder zu stören. Der CVE-Eintrag beschreibt nur einen Denial of Service, eine Codeausführung wird nicht angegeben. NVD und die CNA bewerten die Schwachstelle mit 8.2, während IBM 7.5 vergibt, ohne Auswirkung auf die Vertraulichkeit.
IBM · DataPower Gateway
Recherche und Übersetzung laufen – in Kürze hier.
IBM DataPower Gateway enthält einen heap-basierten Pufferüberlauf, der durch unzureichende Grenzprüfung verursacht wird. Gemäss der CVE-Beschreibung kann ein nicht authentifizierter Angreifer aus dem Netzwerk den Puffer überlaufen lassen und beliebigen Code auf dem System ausführen. Der CVSS-Basiswert beträgt 9.8 (kritisch), betroffen sind die Versionen 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 und 11.0.0.0 bis 11.0.0.2.
IBM · DataPower Gateway
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 und 11.0.0.0 bis 11.0.0.2 enthält einen Out-of-Bounds-Write (CWE-787). Ein entfernter Angreifer kann im Gateway eine Speicherbeschädigung auslösen, ohne sich authentifizieren zu müssen oder eine Benutzeraktion zu benötigen. Der CVSS-3.1-Vektor bewertet die Hauptauswirkung als Verfügbarkeit (hoch), mit geringen Auswirkungen auf Vertraulichkeit und Integrität. In der Recherche wurde keine öffentliche Ausnutzung gemeldet.
IBM · DataPower Gateway
Recherche und Übersetzung laufen – in Kürze hier.
Mehrere IBM DataPower Gateway Versionen in den Zweigen 10.5.0, 10.6.0, 10.6CD und 11.0.0 enthalten einen Out-of-bounds Write (CWE-787). Ein entfernter Angreifer kann dies über das Netzwerk ohne Authentifizierung und mit geringer Komplexität ausnutzen, um sensible Informationen zu erlangen und einen Denial of Service auszulösen. Die Auswirkungen betreffen vor allem die Verfügbarkeit, mit einer begrenzten Auswirkung auf die Vertraulichkeit.
IBM · DataPower Gateway
Recherche und Übersetzung laufen – in Kürze hier.
IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 und 11.0.0.0 bis 11.0.0.2 enthält einen Heap-basierten Buffer Overflow (CWE-787). Ein entfernter Angreifer kann diesen ohne Authentifizierung ausnutzen, um das Gateway zum Absturz zu bringen und einen Denial of Service auszulösen. Da DataPower häufig am Rand von Integrations- und API-Verkehr eingesetzt wird, kann ein Absturz alle dahinterliegenden Dienste stören.
IBM · DataPower Gateway
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
IBM DataPower Gateway enthält einen Out-of-bounds Write (CWE-787), der einem entfernten Angreifer die Ausführung beliebigen Codes ermöglichen kann. NVD und IBM stufen die Schwachstelle mit CVSS 3.1 8.1 (hoch) ein. Der Vektor setzt eine hohe Angriffskomplexität voraus, aber keine Berechtigungen und keine Benutzerinteraktion, weshalb aus dem Internet erreichbare Gateways Priorität haben.
IBM · DataPower Gateway
IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.1 bis 10.6.6, 10.6.0.0 bis 10.6.0.10 und 11.0.0.0 bis 11.0.0.2 enthält einen stapelbasierten Pufferüberlauf (CWE-121). Ein entfernter Angreifer mit gültigen Zugangsdaten und hohen Berechtigungen könnte beliebigen Code auf dem Gateway ausführen, was zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit führen kann. Gemäss CVSS-Vektor ist die Ausnutzung mit hoher Angriffskomplexität und einer Änderung des Scopes verbunden.
IBM · DataPower Gateway
IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 (10.6CD) und 11.0.0.0 bis 11.0.0.2 enthält einen Out-of-bounds Write (CWE-787). Ein Angreifer aus dem Netzwerk kann die Schwachstelle ohne Authentifizierung und ohne Benutzerinteraktion ausnutzen, um beliebigen Code auszuführen, was die Vertraulichkeit, Integrität und Verfügbarkeit des Gateways gefährden kann. Der CVSS-Basiswert beträgt 9.8 (kritisch). Das Gateway ist der entscheidende Risikofaktor, daher haben aus dem Internet erreichbare Instanzen die höchste Priorität.
IBM · DataPower Gateway
IBM DataPower Gateway enthält einen Out-of-bounds Write, der durch eine unzureichende Grenzprüfung verursacht wird und zu einem Pufferüberlauf führen kann. Gemäss der CVE-Beschreibung von IBM könnte ein lokaler Benutzer die Schwachstelle ausnutzen, um beliebigen Code auf dem Gerät auszuführen. Der CVSS-Vektor (AV:N, PR:N) beschreibt hingegen einen Netzwerkangriff ohne Authentifizierung, weshalb die Gefährdung bis zur Klärung durch IBM als möglicherweise remote betrachtet werden muss.
IBM · DataPower Gateway
