IBM DataPower Gateway: Out-of-Bounds-Read führt zu Buffer Overflow

Zusammenfassung

IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 und 11.0.0.0 bis 11.0.0.2 enthält einen Buffer Overflow, der durch einen Out-of-Bounds-Read (CWE-125) verursacht wird. Der CVE-Eintrag stuft die Schwachstelle mit 9.8 (kritisch) ein, mit Angriff über das Netzwerk, ohne Berechtigungen und ohne Benutzerinteraktion, sowie mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Recherchenotizen berichten, dass die IBM-Sicherheitsmitteilung möglicherweise einen tieferen Wert (6.5) mit einer anderen Angriffskomplexität angibt; dieser Widerspruch ist noch nicht geklärt. Es wurden keine Hinweise auf eine Ausnutzung in der Praxis gefunden.

Betroffen

• IBM DataPower Gateway 10.5.0.0 bis 10.5.0.22
• IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10
• IBM DataPower Gateway 10.6.1 bis 10.6.6
• IBM DataPower Gateway 11.0.0.0 bis 11.0.0.2

Behoben in

• 10.5.0.x: 10.5.0.23
• 10.6.0.x: 10.6.0.11
• 10.6.1 bis 10.6.6 (10.6CD): 11.0.0.3
• 11.0.0.0 bis 11.0.0.2: 11.0.0.3

Umgehung

Unbekannt.

Ausnutzung

• Es wurden keine Hinweise auf eine aktive Ausnutzung gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, technische Auswirkung teilweise.
• In unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Alle Instanzen von DataPower Gateway inventarisieren und deren Versionen mit der Liste der betroffenen Versionen abgleichen.
• So rasch wie möglich auf die fixe Version für die eigene Linie aktualisieren, wie von IBM empfohlen.
• Bis zur Behebung den Zugriff auf die Management- und Serviceschnittstellen auf vertrauenswürdige Netzwerke beschränken.
• CVSS-Score und Vektor in der IBM-Sicherheitsmitteilung und im NVD prüfen und die Schwachstelle bis zur Klärung als hohe Priorität behandeln.
• Das Gateway auf ungewöhnliche Abstürze oder Datenverkehr überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• IBM Security Bulletin: DataPower Gateway affected by multiple CVEs www.ibm.com
• IBM Support page referenced by the CVE record www.ibm.com
• VulDB entry CVE-2026-14988 vuldb.com
• Vulners / Rapid7 record CVE-2026-14988 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:28.