IBM MQ Operator: Heap-Pufferüberlauf bei der Verarbeitung von MQPUT-Nachrichtenoptionen
Zusammenfassung
IBM MQ Operator und die IBM MQ Advanced Container-Images enthalten einen Heap-Pufferüberlauf bei der Verarbeitung von MQPUT-Operationen mit fehlerhaften Nachrichtenoptionen. Ein authentifizierter Angreifer mit niedrigen Berechtigungen aus dem Netzwerk kann einen Denial-of-Service auslösen oder möglicherweise beliebigen Code ausführen. Eine Interaktion durch einen Benutzer ist nicht erforderlich.
Betroffen
- IBM MQ Operator: 3.2.0 bis <= 3.2.29; 3.3.0 bis < 3.4.0; 3.4.1; 3.5.0; 3.5.1 bis <= 3.5.3; 3.6.0 bis <= 3.6.4; 3.7.0 bis <= 3.7.2; 3.8.0; 3.8.1; 3.9.0; 3.9.1; 3.9.2 (Standard: nicht betroffen)
- IBM MQ Advanced Container-Images: mehrere Builds der Serien 9.3, 9.4, 10.0 LTS, CD und SC2 (vollständige Liste im offiziellen CVE-Eintrag)
Behoben in
- IBM MQ Operator v4.1.0 (CD-Release, enthält MQ Advanced 10.0.1.0-r1)
- IBM MQ Operator v4.0.5 (SC2-Release, enthält MQ Advanced 10.0.0.5-r2)
- IBM MQ Operator v3.2.30 (SC2-Release, enthält MQ Advanced 9.4.0.26-r2)
- IBM MQ Container 10.0.1.0-r1 und 10.0.0.5-r2
Quelle: offizieller CVE-Eintrag (IBM). Vor der Einführung im IBM-Bulletin prüfen.
Umgehung
Unbekannt. IBM hat in den geprüften Quellen keine Workaround veröffentlicht. Allgemeine Massnahme: Identitäten, die Nachrichten in Warteschlangen schreiben dürfen, einschränken und MQ-Kanäle intern halten.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bekannt; nicht im CISA KEV gelistet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein verifizierter öffentlicher Proof of Concept.
Unsere Empfehlung
- Prüfen, ob MQ Operator oder MQ Advanced Container-Images eingesetzt werden und in welcher Version.
- Auf die im IBM-Bulletin (node/7292667) genannte Fixversion patchen, innerhalb des standardmässigen Notfall-Zeitfensters.
- Bis zum Patch die Exposition der MQ-Kanäle begrenzen und Zugangsdaten, die Nachrichten schreiben dürfen, einschränken.
- CISA KEV und Herstellerhinweise auf Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin node/7292667 www.ibm.com
- HOL Guard: CVE-2026-10572 IBM MQ buffer overflow hol.org
- OpenCVE: CVE-2026-10572 app.opencve.io
- Strix: CVE-2026-10572 www.strix.ai
- Offseq: CVE-2026-10572 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:47.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.