IBM DataPower Gateway: Unzureichende Authentifizierung bei leeren LDAP-Passwörtern
Zusammenfassung
IBM DataPower Gateway weist in den betroffenen Versionen leere Passwörter bei der LDAP-Authentifizierung nicht zurück. Ein entfernter Angreifer kann so ohne gültige Zugangsdaten, ohne vorherige Berechtigungen und ohne Benutzerinteraktion administrativen Zugriff erlangen. NVD bewertet die Schwachstelle mit CVSS 9.8 (Kritisch) und ordnet sie CWE-287 (Improper Authentication) zu.
Betroffen
- IBM DataPower Gateway 10.5.0.0 bis 10.5.0.22
- IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10
- IBM DataPower Gateway 10.6.1 bis 10.6.6 (aufgeführt als 10.6CD)
- IBM DataPower Gateway 11.0.0.0 bis 11.0.0.2
Behoben in
- 10.5.0.23 (für 10.5.0.x)
- 10.6.0.11 (für 10.6.0.x)
- 11.0.0.3 (für 10.6.1 bis 10.6.6 und 11.0.0.x)
Umgehung
Unbekannt. Es wurde keine vom Hersteller veröffentlichte Massnahme gefunden. Den Zugriff auf die Verwaltungsschnittstelle bis zur Installation des Fixes auf vertrauenswürdige Administrationsnetze beschränken.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung. CISA SSVC führt die Ausnutzung als none.
- Automatisierbar: ja (CISA SSVC). Technische Auswirkung: total.
- Bei den Recherchen wurde kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Prüfen, ob eine betroffene DataPower Gateway-Version eingesetzt wird und ob die Verwaltungsschnittstelle aus unvertrauenswürdigen Netzen erreichbar ist.
- Prüfen, ob LDAP für administrative Anmeldungen oder AAA verwendet wird.
- Die fixe Version von IBM so rasch wie möglich installieren.
- Den Zugriff auf die Verwaltung einschränken und bis zum Patch auf unerwartete administrative Anmeldungen achten.
- Hinweis: VulDB bewertet die Schwachstelle mit 10.0 und ordnet sie CWE-259 zu. Dieser Eintrag verwendet die NVD-Basis (9.8, CWE-287).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin: IBM DataPower Gateway affected by multiple CVEs www.ibm.com
- Rapid7 Vulners: CVE-2026-14502 vulners.com
- Strix: CVE-2026-14502 www.strix.ai
- ThreatInt: CVE-2026-14502 cve.threatint.com
- VulDB: CVE-2026-14502 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.