IBM Maximo Application Suite Esri Location Service: Code-Injection
Zusammenfassung
IBM Maximo Application Suite - Location Service for Esri Component in den Versionen 9.0, 9.1 und 9.2 validiert eine Container-Image-Referenz in einer Kubernetes-Operator-Vorlage nicht. Ein Angreifer, der bereits über hohe Berechtigungen verfügt, etwa um Custom Resources im Cluster zu erstellen oder zu ändern, kann Code einschleusen und ausführen. Der CVSS-Vektor weist auf eine Änderung des Schutzbereichs sowie auf hohe Auswirkungen auf Vertraulichkeit und Integrität hin. Eine Ausnutzung wurde nicht gemeldet, und CISA SSVC bewertet die Ausnutzung als none und nicht automatisierbar.
Betroffen
- IBM Maximo Application Suite - Location Service for Esri Component 9.2
- IBM Maximo Application Suite - Location Service for Esri Component 9.1
- IBM Maximo Application Suite - Location Service for Esri Component 9.0
Behoben in
- Upgrade auf 9.2.3
- Upgrade auf 9.1.13
- Upgrade auf 9.0.14
Umgehung
Unbekannt. IBM nennt keinen Workaround.
- Analystenempfehlung: Beschränken Sie, wer Custom Resources und Operator-Vorlagen in MAS-Namespaces erstellen oder ändern darf, und überwachen Sie diese Änderungen bis zur Behebung.
Ausnutzung
- Keine bekannte Ausnutzung.
- CISA SSVC: Ausnutzung none, nicht automatisierbar.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Aktualisieren Sie MAS Location Service for Esri auf 9.2.3, 9.1.13 bzw. 9.0.14, je nach eingesetzter Version.
- Prüfen Sie, welche MAS-Namespaces eine betroffene Version einsetzen.
- Überprüfen Sie die RBAC-Konfiguration und beschränken Sie die Rechte zum Erstellen oder Ändern von Custom Resources und Operator-Vorlagen.
- Beobachten Sie den NVD-Eintrag, der noch in Analyse ist, sowie den CISA-KEV-Katalog auf Änderungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin 7290070 www.ibm.com
- OpenCVE: CVE-2026-18537 app.opencve.io
- VulDB 417240 vuldb.com
- Vulners PT-2026-110969 vulners.com
- Strix: CVE-2026-18537 www.strix.ai
- HOL Guard: CVE-2026-18537 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.