IBM Security Verify Access: Cross-Site Request Forgery
Zusammenfassung
IBM Security Verify Access (10.0 bis 10.0.9.2) und IBM Verify Identity Access (11.0 bis 11.0.3), einschliesslich deren Container-Editionen, sind von einer Cross-Site Request Forgery-Schwachstelle (CWE-352) betroffen. Ein Angreifer kann einen Benutzer, der in diesen Produkten angemeldet ist, dazu bringen, unautorisierte Anfragen zu senden, die vom Produkt als legitim akzeptiert werden. Der NVD-Score beträgt 8.8 und setzt eine Benutzerinteraktion voraus; der vom CNA angegebene Score laut Research-Notizen beträgt 4.3, und der IBM-Bulletin-Auszug widerspricht dem CVE-Eintrag bei CWE und Vektor, weshalb der Schweregrad bis zur Bestätigung durch IBM mindestens als mittel zu behandeln ist.
Betroffen
- IBM Security Verify Access 10.0 bis 10.0.9.2 (Appliance und Container)
- IBM Verify Identity Access 11.0 bis 11.0.3 (Appliance und Container)
Behoben in
- Download-Links laut offiziellem CVE-Eintrag: IBM Verify Identity Access v11.0.3.1 und IBM Security Verify Access v10.0.9.3 (Appliance)
- Neuere Downloads laut Research-Notizen im IBM-Bulletin: Verify Identity Access v11.0.3.2 und Security Verify Access v10.0.9.4
- Container-Fix: Unbekannt; aktuelle Container-Version bei IBM bestätigen
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
- Provisorische Massnahme, falls das Patchen verzögert wird (allgemeine bewährte Praxis, keine IBM-Empfehlung): Administrationsoberflächen auf interne Netze beschränken und kurze Sitzungsdauern verwenden.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gefunden; laut einem Tracker nicht in der KEV-Liste.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- EPSS-Score 0.00112 (niedrig).
Unsere Empfehlung
- Das IBM-Oktoberupdate 2026 auf die korrigierten Versionen einspielen (mindestens 10.0.9.3 bzw. 11.0.3.1; vorzugsweise 10.0.9.4 bzw. 11.0.3.2, sofern von IBM bestätigt).
- Die genaue korrigierte Version und den Container-Fix vor dem Rollout bei IBM bestätigen.
- Internetseitige und administrative Instanzen priorisieren.
- Von IBM die korrekte CWE, den korrekten Vektor und Score bestätigen lassen.
- Bis zum Patch den Zugriff auf Administrationsoberflächen auf interne Netze beschränken und auf unerwartete administrative Aktionen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin (primary advisory) www.ibm.com
- IBM Security Bulletin (Verify Identity Access 11) www.ibm.com
- Cryptika: IBM patches 22 Verify Access flaws www.cryptika.com
- Cyber Updates: IBM Verify Access 22 vulnerabilities cyberupdates365.com
- Strix: CVE-2026-78388 www.strix.ai
- Vulners: CVE-2026-78388 (Rapid7) vulners.com
- VulDB: CVE-2026-78388 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.