IBM DataStage on Cloud Pak for Data: Path Traversal ermöglicht Codeausführung
Zusammenfassung
IBM DataStage on Cloud Pak for Data 5.4.0.0 enthält eine Path-Traversal-Schwachstelle (CWE-22), die durch eine unzureichende Validierung von Pfadangaben verursacht wird. Laut Beschreibung von IBM kann ein entfernter Angreifer mit gültigem Benutzerkonto dies über das Netzwerk ohne Benutzerinteraktion ausnutzen, um beliebigen Code auszuführen. NVD bewertet die Schwachstelle mit 9.9 (kritisch), während die Sicherheitsmitteilung von IBM 9.6 ohne Auswirkung auf die Vertraulichkeit angibt. Ein öffentlicher Exploit ist nicht bekannt.
Betroffen
- IBM DataStage on Cloud Pak for Data 5.4.0.0
Behoben in
- Upgrade auf 5.4 Patch 7 oder neuer, wie im offiziellen CVE-Eintrag angegeben (IBM ist die CNA).
- Hinweis: Die Open-Source-Sicherheitsmitteilung von IBM zu DataStage verweist auf 5.4 Patch 8 oder neuer. Die genaue korrigierte Version in der IBM-Mitteilung 7288649 oder beim IBM Support bestätigen, bevor das Upgrade geplant wird.
Umgehung
- Ein Workaround des Herstellers ist nicht bekannt.
- Den Netzwerkzugriff auf DataStage auf vertrauenswürdige interne Netze und Verwaltungsschnittstellen beschränken.
- Die DataStage-Benutzerkonten einschränken und überprüfen, da für die Ausnutzung ein gültiges Konto erforderlich ist.
Ausnutzung
- Es wurde kein öffentlicher Proof of Concept gemeldet.
- Laut Sekundärquellen ist die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt.
- Die CISA-SSVC-Bewertung im CNA-Eintrag gibt exploitation: none und automatable: no an.
- Der EPSS-Wert liegt bei etwa 0.005 (niedrig).
- Es wurde keine Ausnutzung in freier Wildbahn festgestellt.
Unsere Empfehlung
- Prüfen, ob eine Instanz von DataStage on Cloud Pak for Data 5.4.0.0 im Einsatz ist.
- Die korrigierte Patch-Stufe aus der IBM-Mitteilung 7288649 oder beim IBM Support einholen und das Upgrade zeitnah durchführen.
- Bis zur Behebung den Netzwerkzugriff einschränken, die Konten mit DataStage-Zugriff überprüfen und die Logs auf ungewöhnliche Dateizugriffe überwachen.
- Instanzen priorisieren, die aus dem Internet erreichbar sind oder viele Benutzerkonten haben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin 7288649 www.ibm.com
- Vulners: RAPID7:CVE-2026-82110 vulners.com
- Strix: CVE-2026-82110 www.strix.ai
- TheHackerWire: CVE-2026-82110 www.thehackerwire.com
- ThreatInt: CVE-2026-82110 cve.threatint.com
- IBM Security Bulletin: DataStage open-source vulnerabilities www.ibm.com
- IBM Cloud Pak for Data v5.4 Patch 8 www.ibm.com
- SecurityOnline: IBM DataStage vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.