IBM Planning Analytics: Path Traversal erlaubt Dateilesen und Überschreiben
Zusammenfassung
IBM Planning Analytics 2.0 und 2.1 (Planning Analytics Local, Komponente Workspace) enthalten eine Path-Traversal-Schwachstelle durch unzureichende Validierung von Dateipfaden. Ein entfernter Angreifer kann beliebige Dateien auf dem Host lesen und bestimmte Anwendungsdateien überschreiben. Der offizielle Eintrag gibt CVSS 3.1 8.2 an (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N), was bedeutet, dass keine Authentifizierung und keine Benutzerinteraktion nötig sind; das IBM-Bulletin nennt für denselben CWE-22-Eintrag 8.1.
Betroffen
- IBM Planning Analytics Local 2.0 (genaue betroffene Builds gemäss IBM-Bulletin)
- IBM Planning Analytics Local 2.1.0 - 2.1.23
- Unbekannt: ob weitere 2.1.x-Builds betroffen sind
Behoben in
- IBM Planning Analytics Local 2.1.24 (verfügbar über IBM Fix Central)
- Unbekannt: genaue Korrekturversion für 2.0; auf dem IBM-Bulletin prüfen
Umgehung
- Unbekannt aus primären Quellen. Das Einspielen des Patches ist die erwartete Massnahme.
Ausnutzung
- Zum Zeitpunkt der Erstellung sind keine Hinweise auf Ausnutzung in freier Wildbahn bekannt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- EPSS ca. 0.0035 (Sekundärquelle).
- Laut einem Sekundäraggregator nicht in der CISA KEV gelistet.
Unsere Empfehlung
- Alle Planning Analytics Local Installationen und deren Versionen (2.0 oder 2.1.x) inventarisieren.
- Upgrade auf 2.1.24 bzw. die von IBM für 2.0 genannte Korrektur planen und zusammen mit den übrigen Korrekturen des IBM-Bulletins einspielen.
- Prüfen, ob Planning Analytics- oder Workspace-Endpunkte aus dem Internet oder aus weniger vertrauenswürdigen Netzen erreichbar sind, und den Zugriff einschränken.
- Logs auf ungewöhnliche Dateizugriffe prüfen und aktuelle Backups des Anwendungshosts sicherstellen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin (node/7291604) www.ibm.com
- VulnRichment CVE-2026-19627 vulners.com
- threatint CVE-2026-19627 cve.threatint.com
- Strix CVE-2026-19627 www.strix.ai
- TheHackerWire CVE-2026-19627 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.