IBM MQ Operator: Unsichere Java-Deserialisierung in MQ Classes for Java
Zusammenfassung
IBM MQ Operator, der IBM-MQ-Queue-Manager auf Kubernetes oder OpenShift bereitstellt, enthält eine uneingeschränkte Java-Deserialisierung in den MQ Classes for Java (CWE-502). Ein authentifizierter Angreifer mit gültigen Zugangsdaten kann einen Denial of Service auslösen oder möglicherweise beliebigen Code ausführen. Der CVSS-Wert unterscheidet sich je nach Quelle (8.8 im CVE-Eintrag, 7.5 in anderen Einträgen), daher ist er vor einer Meldung in NVD zu prüfen.
Betroffen
- IBM MQ Operator 3.2.0 bis 3.2.29, 3.3.0 bis unter 3.4.0, 3.4.1, 3.5.0, 3.5.1 bis 3.5.3, 3.6.0 bis 3.6.4, 3.7.0 bis 3.7.2, 3.8.0, 3.8.1, 3.9.0 bis 3.9.2 (laut CVE-Eintrag)
- IBM-MQ-Advanced-Container-Images in mehreren Builds der Reihen 9.3.x, 9.4.x, 10.0.0.x und 9.4.1.x bis 9.4.5.x (vollständige Liste im IBM-Bulletin)
- Unbekannt: ob Operator-Versionen 4.0.x betroffen sind (die Quellen widersprechen sich)
Behoben in
- MQ Operator v4.1.0 mit MQ Advanced 10.0.1.0-r1
- MQ Operator v4.0.5 SC2 mit MQ Advanced 10.0.0.5-r2
- MQ Operator v3.2.30 SC2 mit MQ Advanced 9.4.0.26-r2
- MQ Container 10.0.1.0-r1 und 10.0.0.5-r2
- Unbekannt: korrigierte Versionen für die Zweige 3.3.x bis 3.9.x
Umgehung
Unbekannt. IBM hat in den geprüften Quellen keine Workaround für diese CVE veröffentlicht. Allgemeine Massnahmen wie die Einschränkung des Zugriffs auf den MQ-Dienst und die Überwachung auf Deserialisierungsversuche reduzieren das Risiko, sind aber keine Herstellerempfehlung.
Ausnutzung
- CISA SSVC: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung
- Nicht im CISA-KEV-Katalog; EPSS unter 1 %
- Ein Aggregator meldet keinen öffentlichen Proof of Concept; zum Zeitpunkt der Veröffentlichung gibt es keine Hinweise auf Ausnutzung in freier Wildbahn
Unsere Empfehlung
- Versionen von MQ Operator und MQ-Advanced-Images in allen Kubernetes- und OpenShift-Clustern erfassen
- Auf die oben genannten korrigierten Versionen aktualisieren oder beim Hersteller den Korrekturpfad für den eigenen Zweig erfragen
- Zugriff auf MQ und dessen Management-Endpunkte auf berechtigte Benutzer und Netze beschränken und eine Exposition gegenüber dem Internet vermeiden
- MQ-Logs auf ungewöhnliche Deserialisierungsfehler oder unerwartete Prozessaktivitäten überwachen
- Den CVSS-Wert in NVD prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin 7292667 www.ibm.com
- OpenCVE CVE-2026-12148 app.opencve.io
- HOL Guard CVE-2026-12148 hol.org
- VulDB 422442 vuldb.com
- Strix CVE-2026-12148 www.strix.ai
- The Hacker Wire CVE-2026-12148 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:46.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.