IBM MQ Operator: Stack-basierter Pufferüberlauf bei TLS-Zertifikatsverarbeitung

Zusammenfassung

IBM MQ Operator und die von IBM bereitgestellten MQ-Advanced-Container-Images enthalten einen stack-basierten Pufferüberlauf (CWE-121) bei der Verarbeitung von TLS-Zertifikaten mit fehlerhaften Distinguished Names während des Verbindungsaufbaus von Channels. Ein entfernter Angreifer kann dies ohne Authentifizierung und ohne Benutzerinteraktion ausnutzen, um beliebigen Code auszuführen, was zu einer vollständigen Kompromittierung des Queue Managers führen könnte (CVSS 9.8 gemäss NVD). Der Angriff erfordert Netzwerkzugriff auf einen MQ-Channel-Listener.

Betroffen

• IBM MQ Operator: 3.2.0 bis 3.2.29; 3.3.0 bis unter 3.4.0; 3.4.1; 3.5.0; 3.5.1 bis 3.5.3; 3.6.0 bis 3.6.4; 3.7.0 bis 3.7.2; 3.8.0; 3.8.1; 3.9.0; 3.9.1; 3.9.2 (gemäss CNA-Eintrag; die Standardkonfiguration ist nicht betroffen)
• IBM MQ Advanced Container-Images in den Linien 9.4.x, 9.3.x LTS und 10.0.x (mehrere Builds, siehe IBM-Bulletin)
• Versionen der MQ Operator Linien 4.x und 2.x sind nur in Sekundärdatenbanken aufgeführt; gegen das IBM-Bulletin prüfen.

Behoben in

• MQ Operator v4.1.0 (CD-Release mit MQ Advanced 10.0.1.0-r1)
• MQ Operator v4.0.5 (SC2-Release mit MQ Advanced 10.0.0.5-r2)
• MQ Operator v3.2.30 (SC2-Release mit MQ Advanced 9.4.0.26-r2)
• MQ Container 10.0.1.0-r1 und 10.0.0.5-r2
• Korrigierte Versionen für die Linien 2.x und 3.3 bis 3.9: Unbekannt. Im IBM-Bulletin prüfen.

Umgehung

• Unbekannt gemäss dem Text von IBM. Eine Sekundärquelle empfiehlt, TLS-Verbindungen zum Queue Manager auf fehlerhafte Distinguished Names zu überwachen und solche Verbindungen an der Perimetergrenze oder mit Firewall-Regeln zu blockieren, bis ein Patch eingespielt ist.

Ausnutzung

• Nicht in CISA KEV aufgeführt. CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• EPSS unter 1%.
• Kein verifizierter öffentlicher Proof of Concept gefunden; ein Datenbankeintrag enthält keinen Exploit-Inhalt.

Unsere Empfehlung

• Alle MQ-Operator- und MQ-Container-Deployments inventarisieren, einschliesslich Versionen und der Frage, ob ein MQ-Channel-Listener von aussen erreichbar ist.
• Im IBM-Bulletin den genauen korrigierten Build für jede verwendete Linie prüfen.
• Den Zugriff auf MQ-Channel-Listener bis zum Patch auf bekannte Netzwerke beschränken.
• Priorisiert patchen, angesichts der CVSS-Bewertung 9.8 und des nicht authentifizierten Netzwerkangriffswegs.
• Die gesamte TLS-Zertifikatsverarbeitung von MQ überprüfen, da ein verwandtes CWE-121-Problem (CVE-2026-12150) existiert.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• IBM Security Bulletin (node 7292667) www.ibm.com
• HOL Guard: CVE-2026-12665 IBM MQ buffer overflow hol.org
• OpenCVE: CVE-2026-12665 app.opencve.io
• Strix: CVE-2026-12665 www.strix.ai
• VulDB: CVE-2026-12665 vuldb.com
• ThreatInt: CVE-2026-12665 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:24.