IBM DataPower Gateway: XML External Entity Injection (XXE)
Zusammenfassung
IBM DataPower Gateway verarbeitet XML-Daten in den betroffenen Versionen ohne ausreichende Einschränkung externer Entity-Referenzen. Ein entfernter Angreifer kann dies über das Netzwerk ohne Berechtigungen ausnutzen, um sensitive Informationen offenzulegen oder Speicherressourcen zu verbrauchen. IBM bewertet den CVSS-Basiswert mit 8.2. Die Exponierung hängt davon ab, ob das Gateway aus nicht vertrauenswürdigen Netzen erreichbar ist.
Betroffen
- IBM DataPower Gateway 10.5.0.0 bis 10.5.0.22
- IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10
- IBM DataPower Gateway 10.6.1 bis 10.6.6 (aufgeführt als 10.6CD)
- IBM DataPower Gateway 11.0.0.0 bis 11.0.0.2
Behoben in
- Zweig 10.5.0: 10.5.0.23
- Zweig 10.6.0: 10.6.0.11
- 10.6.1 bis 10.6.6 (10.6CD): 11.0.0.3
- Zweig 11.0.0: 11.0.0.3
Umgehung
Unbekannt. In den Quellen ist kein Workaround des Herstellers dokumentiert. Beschränken Sie den Netzwerkzugriff auf DataPower-Dienste und Verwaltungsschnittstellen und stellen Sie sicher, dass die Auflösung externer Entitys bei der XML-Verarbeitung deaktiviert ist, soweit das Produkt dies zulässt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- HOL und VulDB listen zum Zeitpunkt der Analyse keine bekannte Ausnutzung.
- Der EPSS-Wert ist niedrig (0.00339).
Unsere Empfehlung
- Falls Sie DataPower betreiben, spielen Sie so bald wie möglich die Korrekturversion für Ihren Zweig ein; IBM empfiehlt das Upgrade dringend.
- Beschränken Sie bis zum Abschluss des Patchens den Zugriff auf das Gateway und schränken Sie die XML-Verarbeitung wo möglich ein.
- Prüfen Sie, ob das Gateway aus dem Internet erreichbar ist, und kontrollieren Sie die Logs auf ungewöhnliche XML-Anfragen.
- Falls ein Managed-Service-Provider oder Partner DataPower für Sie betreibt, lassen Sie sich deren Patch-Stand bestätigen.
- Falls Sie DataPower nicht betreiben, ist keine Massnahme erforderlich.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin (node 7289775) www.ibm.com
- IBM Security Bulletin: IBM DataPower Gateway affected by multiple CVEs www.ibm.com
- VulDB CVE-2026-14905 vuldb.com
- HOL CVE-2026-14905 hol.org
- Strix CVE-2026-14905 www.strix.ai
- OffSeq CVE-2026-14905 radar.offseq.com
- Vulners Rapid7 CVE-2026-14905 vulners.com
- threatint CVE-2026-14905 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:51.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.