IBM Verify Identity Access: Hart codierte Zugangsdaten erlauben Rechteerweiterung
Zusammenfassung
IBM Verify Identity Access 11.0.3.1 und IBM Security Verify Access 10.0.9.3 Appliance enthalten hart codierte Zugangsdaten (CWE-798). Ein Angreifer mit physischem oder benachbartem Zugriff kann diese nutzen, um erhöhte Rechte zu erlangen. Da diese Identity- und Access-Management-Appliances die Authentifizierung für angebundene Systeme steuern, könnte ein erfolgreicher Angriff Vertraulichkeit, Integrität und Verfügbarkeit in der gesamten Umgebung beeinträchtigen. Für die Ausnutzung ist keine Benutzerinteraktion und nur eine geringe Komplexität nötig, die Angriffsvektor-Beschreibung ist in den Quellen jedoch uneinheitlich.
Betroffen
- IBM Verify Identity Access 11.0.3.1 (Appliance)
- IBM Security Verify Access 10.0.9.3 (Appliance)
- Ob frühere Versionen oder Container-Builds betroffen sind: Unbekannt.
Behoben in
- IBM Verify Identity Access: Aktualisierung auf 11.0.3.2
- IBM Security Verify Access: Aktualisierung auf 10.0.9.4
- Die Fix-Versionen vor der Implementierung im IBM Security Bulletin bestätigen.
Umgehung
- IBM dokumentiert keine Workaround (Workarounds and Mitigations: None).
- Ob die hart codierten Zugangsdaten vor dem Patchen durch den Kunden geändert werden können: Unbekannt.
Ausnutzung
- Nicht als ausgenutzt bekannt (CISA SSVC: Exploitation none; laut verfügbaren Quellen nicht in der KEV-Liste).
- Kein öffentlicher Exploit oder Proof of Concept bekannt.
- Automatisierbar: nein.
Unsere Empfehlung
- Alle Verify Access- und Verify Identity Access-Appliances und Container inventarisieren.
- Physische und lokale Zugangskontrollen pro Appliance prüfen und den Zugriff auf berechtigte Mitarbeitende beschränken.
- Die Aktualisierung auf 11.0.3.2 bzw. 10.0.9.4 so rasch wie möglich planen.
- Administrative Zugangsdaten nach dem Patchen rotieren und nicht benötigte Konten deaktivieren.
- Auf unerwartete administrative Anmeldungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin 7292606 www.ibm.com
- VulDB CVE-2026-109126 vuldb.com
- OpenCVE CVE-2026-109126 app.opencve.io
- Strix CVE-2026-109126 www.strix.ai
- Hol.org CVE-2026-109126 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:42.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.