IBM DataPower Gateway: Unzureichende Prüfung einer kryptografischen Signatur
Zusammenfassung
IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.1 bis 10.6.6, 10.6.0.0 bis 10.6.0.10 und 11.0.0.0 bis 11.0.0.2 prüft kryptografische Signaturen nicht korrekt. Ein entfernter Angreifer mit gültigen Zugangsdaten mit niedrigen Berechtigungen kann Sicherheitsbeschränkungen umgehen, mit hohen Auswirkungen auf Vertraulichkeit und Integrität. IBM stuft die Lücke mit CVSS 8.1 ein.
Betroffen
- IBM DataPower Gateway 10.5.0.0 bis 10.5.0.22
- IBM DataPower Gateway 10.6.1 bis 10.6.6 (10.6CD)
- IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10
- IBM DataPower Gateway 11.0.0.0 bis 11.0.0.2
Behoben in
- Upgrade auf 11.0.0.3 für die Linie 11.0.0 und die Linie 10.6CD (10.6.1 bis 10.6.6), gemäss der Zuordnung im IBM-Bulletin
- Upgrade auf 10.6.0.11 für die Linie 10.6.0
- Upgrade auf 10.5.0.23 für die Linie 10.5
- Die genaue Zuordnung im IBM-Bulletin vor der Planung der Upgrades bestätigen.
Umgehung
Unbekannt.
Ausnutzung
- Nicht als ausgenutzt bekannt (CISA KEV: nein).
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
- Der EPSS-Wert ist niedrig (etwa 0.56%).
Unsere Empfehlung
- Alle DataPower-Instanzen mit ihren genauen Versionen erfassen und festhalten, welche aus dem Internet oder von Partnernetzwerken erreichbar sind.
- Auf die im IBM-Bulletin genannte Fixversion für jede Linie aktualisieren.
- CVE-2026-14999 aus demselben IBM-Bulletin priorisieren, da hierfür keine Authentifizierung nötig ist.
- Konten mit Zugriff auf DataPower, inklusive Admin- und Dienstkonten, überprüfen und reduzieren.
- Änderungen beim KEV-Status und öffentlichen Proof-of-Concept-Code überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin (node 7289775) www.ibm.com
- IBM Security Bulletin: IBM DataPower Gateway affected by multiple CVEs www.ibm.com
- Strix: CVE-2026-14497 www.strix.ai
- Vulners: Rapid7 CVE-2026-14497 (EPSS) vulners.com
- hol.org: CVE-2026-14497 hol.org
- VulDB 415432 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.