IBM DataPower Gateway: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 und 11.0.0.0 bis 11.0.0.2 enthält einen heap-basierten Pufferüberlauf (CWE-122). Gemäss CVE-Eintrag kann ein entfernter Angreifer diesen ohne Authentifizierung ausnutzen, um beliebigen Code auszuführen, was volle Kontrolle über das Gateway bedeuten könnte. Der CVSS-Basiswert laut CVE-Eintrag beträgt 9.8 (KRITISCH).
Betroffen
- IBM DataPower Gateway 10.5.0.0 bis 10.5.0.22
- IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10
- IBM DataPower Gateway 10.6.1 bis 10.6.6 (10.6CD)
- IBM DataPower Gateway 11.0.0.0 bis 11.0.0.2
Behoben in
- IBM DataPower Gateway 10.5.0: 10.5.0.23
- IBM DataPower Gateway 10.6.0: 10.6.0.11
- IBM DataPower Gateway 10.6CD (10.6.1 bis 10.6.6): 11.0.0.3
- IBM DataPower Gateway 11.0.0: 11.0.0.3
(Zuordnung der Fixversionen gemäss CVE-Eintrag. Vor der Bereitstellung mit dem IBM-Advisory abgleichen.)
Umgehung
Unbekannt. Es wurde keine CVE-spezifische Workaround-Massnahme von IBM identifiziert. Das Patchen ist die primäre Massnahme.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Zum Zeitpunkt der Recherche wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- Den CISA-KEV-Katalog erneut prüfen, da sich der Status geändert haben könnte.
Unsere Empfehlung
- Prüfen, ob eine DataPower-Gateway-Instanz im Einsatz ist und welche Version sie betreibt.
- Die im IBM-Advisory (node/7289775) aufgeführte Fixversion so rasch wie möglich installieren.
- Falls das Patchen verzögert wird, den Zugriff auf Verwaltung und Gateway auf vertrauenswürdige Netze beschränken.
- Den CISA-KEV-Katalog und die IBM-Sicherheitsmitteilungen auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin (node/7289775) www.ibm.com
- IBM Security Bulletin: DataPower Gateway affected by multiple CVEs www.ibm.com
- VulDB entry CVE-2026-14888 vuldb.com
- Rapid7 via Vulners CVE-2026-14888 vulners.com
- HOL Guard CVE-2026-14888 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.