IBM MQ Operator: Heap-Pufferüberlauf bei der Verarbeitung von MQPUT und MQPUT1
Zusammenfassung
IBM MQ Operator, der IBM-MQ-Queue-Manager auf Kubernetes und OpenShift bereitstellt und verwaltet, enthält einen Heap-Pufferüberlauf bei der Verarbeitung von MQPUT- und MQPUT1-Operationen mit fehlerhaften Message-Handle-Eigenschaften. Ein authentifizierter Angreifer mit gültigem MQ-Zugriff kann dies über das Netzwerk ausnutzen, um einen Denial of Service auszulösen oder möglicherweise beliebigen Code auszuführen. Der CVSS-Basiswert beträgt 8.8.
Betroffen
- IBM MQ Operator: 3.2.0 bis 3.2.29; 3.3.0 bis unter 3.4.0; 3.4.1; 3.5.0; 3.5.1 bis 3.5.3; 3.6.0 bis 3.6.4; 3.7.0 bis 3.7.2; 3.8.0; 3.8.1; 3.9.0; 3.9.1; 3.9.2 (Standard: nicht betroffen)
- IBM-MQ-Advanced-Container-Images in mehreren Versionen der Linien 9.3.x, 9.4.x und 10.0.x (vollständige Liste im IBM-Bulletin)
Behoben in
- IBM MQ Operator v4.1.0 mit IBM MQ Advanced 10.0.1.0-r1
- IBM MQ Operator v4.0.5 mit IBM MQ Advanced 10.0.0.5-r2
- IBM MQ Operator v3.2.30 mit IBM MQ Advanced 9.4.0.26-r2
- IBM MQ Container 10.0.1.0-r1 und 10.0.0.5-r2
Korrigierte Versionen für weitere betroffene Release-Linien: Unbekannt.
Umgehung
Unbekannt. In den Quellen wird kein Workaround des Herstellers aufgeführt.
- Bis zur Installation des Fixes die Berechtigung für MQPUT und MQPUT1 auf vertrauenswürdige Dienstkonten beschränken (allgemeine Massnahme, von IBM für diese CVE nicht bestätigt).
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Es wurden keine Hinweise auf aktive Ausnutzung gefunden; die CVE ist nicht im KEV-Katalog gelistet.
- Es existiert ein öffentlicher PoC-Eintrag, dessen Inhalt jedoch nicht verifiziert ist.
Unsere Empfehlung
- Prüfen, ob IBM MQ Operator oder IBM-MQ-Advanced-Container-Images eingesetzt werden und in welcher Version.
- Auf eine vom IBM aufgeführte korrigierte Version aktualisieren und den Fix für die eigene Release-Linie im IBM-Bulletin verifizieren.
- Bis zur Korrektur den Zugriff auf MQPUT und MQPUT1 auf vertrauenswürdige Konten beschränken und MQ auf ungewöhnliche Put-Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin node/7292667 www.ibm.com
- OpenCVE CVE-2026-10574 app.opencve.io
- HOL Guard CVE-2026-10574 hol.org
- Strix CVE-2026-10574 www.strix.ai
- OffSeq Radar CVE-2026-10574 radar.offseq.com
- Sploitus CVE-2026-10574 (unverified PoC listing) sploitus.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:48.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.