IBM TRIRIGA Application Platform: Path Traversal bei Archiv-Extraktion
Zusammenfassung
IBM TRIRIGA Application Platform in den Versionen 5.0.0 bis 5.0.8 prüft Dateipfade bei der Archiv-Extraktion nicht ausreichend. Es handelt sich um eine Zip-Slip-Schwachstelle (CWE-22) als Path Traversal. Ein entfernter Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen kann diese ausnutzen, um beliebigen Code auszuführen, laut IBM-CVSS-3.1-Bewertung 8.8. Das Advisory von IBM beschreibt keine Workaround-Massnahme.
Betroffen
- IBM TRIRIGA Application Platform 5.0.0 bis 5.0.8
- Von IBM genannte Plattformen: Linux, Windows, AIX
Behoben in
- Upgrade auf IBM TRIRIGA Application Platform 5.0.9 oder eine spätere unterstützte Version mit dem Fix
- IBM empfiehlt, das neueste verfügbare Maintenance-Paket anzuwenden
Umgehung
Unbekannt. Das Advisory von IBM enthält keinen Workaround und keine Gegenmassnahme.
Ausnutzung
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.
- In den geprüften Aggregatoren nicht als bekannt ausgenutzt (KEV) gelistet; kein Eintrag im CISA-KEV-Katalog gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie, ob in Ihrer Umgebung TRIRIGA-Instanzen existieren, auch bei vom Hersteller oder Partner betriebenen Systemen.
- Bestätigen Sie die installierte Version. Bei 5.0.0 bis 5.0.8 planen Sie das Upgrade auf 5.0.9 oder höher.
- Beschränken Sie bis zur Aktualisierung, wer Konten besitzt, und prüfen Sie, welche Benutzer Archive hochladen können.
- Überwachen Sie TRIRIGA-Server auf unerwartete Dateischreibvorgänge und Codeausführung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin: Security Vulnerability identified in IBM TRIRIGA - Zip Slip www.ibm.com
- Aggregator: HOL Guard CVE-2026-102627 hol.org
- Aggregator: Strix CVE-2026-102627 www.strix.ai
- Positive Technologies record PT-2026-111007 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:20.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.