IBM DataStage on Cloud Pak for Data: Injection von Betriebssystembefehlen
Zusammenfassung
IBM DataStage on Cloud Pak for Data 5.4.0.0 enthält eine Schwachstelle bei der Neutralisierung von Eingaben, die die Ausführung von beliebigem Code auf dem zugrunde liegenden System erlaubt. Ein entfernter Angreifer mit gültigen Zugangsdaten mit niedrigen Berechtigungen kann sie über das Netzwerk ausnutzen, ohne dass eine Benutzerinteraktion nötig ist. Der CVE-Eintrag und NVD führen die Schwachstelle als CWE-94, während die Einträge im IBM-Bulletin CWE-78 (Injection von Betriebssystembefehlen) verwenden; die genaue Klassifizierung sollte auf NVD und im IBM-Bulletin überprüft werden.
Betroffen
- IBM DataStage on Cloud Pak for Data 5.4.0.0
Behoben in
- Upgrade auf 5.4 Patch 7 oder neuer gemäss CVE-Eintrag (IBM-Bulletin node/7288649). Ein anderes IBM-Bulletin nennt für 5.4.0.0 Patch 8; die genaue Patch-Stufe, die IBM dieser CVE zuordnet, sollte vor der Umsetzung bestätigt werden.
Umgehung
- Unbekannt. IBM hat für diese CVE keine Workaround veröffentlicht.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung. Es wurde kein bestätigter öffentlicher Exploit-Code und kein Hinweis auf aktive Ausnutzung gefunden. Laut Aggregatoren, deren Qualität unterschiedlich ist, ist die CVE nicht im CISA KEV gelistet.
Unsere Empfehlung
- Prüfen, ob DataStage on Cloud Pak for Data 5.4.0.0 im Einsatz ist. - So rasch wie möglich auf die im IBM-Bulletin genannte Fix-Version patchen, zusammen mit anderen DataStage-5.4.0.0-Hinweisen. - Den Zugriff auf DataStage auf die nötigen Konten beschränken und bestehende Konten überprüfen. - Die Netzwerkexposition der Plattform reduzieren und prüfen, ob Management- oder Web-Oberflächen aus dem Internet erreichbar sind. - IBM-Bulletin und CISA KEV auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin (node/7288649) www.ibm.com
- VulDB: CVE-2026-82108 vuldb.com
- OffSeq Radar: CVE-2026-82108 radar.offseq.com
- Strix: CVE-2026-82108 www.strix.ai
- IBM Security Bulletin: DataStage several vulnerabilities (open source software) www.ibm.com
- Vulners: CVELIST CVE-2026-17102 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.