IBM DataPower Gateway: Heap-basierter Pufferüberlauf ermöglicht Denial of Service

Zusammenfassung

Die IBM DataPower Gateway Versionen 10.5.0.0 bis 10.5.0.22, 10.6.1 bis 10.6.6, 10.6.0.0 bis 10.6.0.10 und 11.0.0.0 bis 11.0.0.2 enthalten einen heap-basierten Pufferüberlauf. Ein entfernter, nicht authentifizierter Angreifer kann diesen ohne Benutzerinteraktion ausnutzen, um den Gateway-Dienst zum Absturz zu bringen oder zu stören. Der CVE-Eintrag beschreibt nur einen Denial of Service, eine Codeausführung wird nicht angegeben. NVD und die CNA bewerten die Schwachstelle mit 8.2, während IBM 7.5 vergibt, ohne Auswirkung auf die Vertraulichkeit.

Betroffen

• IBM DataPower Gateway 10.5.0.0 bis 10.5.0.22
• IBM DataPower Gateway 10.6.1 bis 10.6.6 (10.6CD)
• IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10
• IBM DataPower Gateway 11.0.0.0 bis 11.0.0.2

Behoben in

• 10.5.0.x: Upgrade auf 10.5.0.23
• 10.6.0.x: Upgrade auf 10.6.0.11
• 10.6CD (10.6.1 bis 10.6.6): Upgrade auf 11.0.0.3 (Wechsel der Release-Linie)
• 11.0.0.x: Upgrade auf 11.0.0.3

Umgehung

Unbekannt.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog gelistet.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
• Kein öffentlicher Proof of Concept gefunden; EPSS etwa 0.3 %.

Unsere Empfehlung

• Prüfen Sie, ob DataPower-Instanzen vorhanden sind und welche Version bzw. Linie sie einsetzen.
• Planen Sie das Upgrade auf die korrigierte Version für jede Linie; prüfen Sie bei 10.6CD zuerst den Migrationspfad auf 11.0.0.3 und die Kompatibilität.
• Beschränken Sie bis zum Patch den Zugriff auf die Gateway-Listener auf vertrauenswürdige Netze, sofern das Design dies zulässt.
• Überwachen Sie unerwartete Neustarts oder Abstürze, die auf Denial-of-Service-Versuche hindeuten können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• IBM Security Bulletin: IBM DataPower Gateway affected by multiple CVEs www.ibm.com
• IBM Security Bulletin: IBM DataPower Gateway affected by multiple CVEs (fix table) www.ibm.com
• Strix CVE record CVE-2026-14496 www.strix.ai
• Rapid7 record via Vulners vulners.com
• CVE record via threatint cve.threatint.com
• VulDB entry 415431 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:52.