IBM Planning Analytics: Stack-based Buffer Overflow ermöglicht Codeausführung
Zusammenfassung
IBM Planning Analytics 2.0 und 2.1 enthalten einen Stack-based Buffer Overflow, der auf einer unzureichenden Prüfung der Speichergrenzen beruht. Ein Angreifer, der den betroffenen Dienst über das Netzwerk erreichen kann, könnte den Puffer überlaufen lassen und beliebigen Code auf dem System ausführen. Der CVSS-Vektor weist auf eine geringe Angriffskomplexität und geringe Berechtigungen hin, ohne Benutzerinteraktion.
Betroffen
- IBM Planning Analytics 2.0
- IBM Planning Analytics 2.1
- Genaue betroffene Builds: Unbekannt.
Behoben in
Unbekannt. Das IBM-Security-Bulletin 7291604 verweist für andere CVEs auf Planning Analytics Local 2.1.24; ob dieser Fix auch CVE-2026-76587 abdeckt, konnte nicht bestätigt werden. Die IBM-Cloud-Umgebung wurde bereinigt.
Umgehung
Unbekannt. Für diese CVE wurde keine Workaround-Empfehlung des Herstellers gefunden.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht in CISA KEV aufgeführt.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- IBM-Security-Bulletin 7291604 vollständig lesen und CVE-2026-76587 für jede installierte Version (2.0 und 2.1) einem korrigierten Build zuordnen.
- Alle Planning-Analytics-Local- und Workspace-Instanzen inventarisieren und prüfen, ob sie aus dem Internet erreichbar sind.
- Den Zugriff auf interne Benutzer und VPN beschränken und die berechtigten Benutzerkonten überprüfen.
- IBM-Bulletin, NVD und CISA KEV auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin 7291604 www.ibm.com
- NVD mirror (Vulners) vulners.com
- KEV and SSVC (OpenCVE) app.opencve.io
- CNA data (Vulners) vulners.com
- CVSS and summary (Strix) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:45.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.