Kritikus sérülékenységek az IBM vállalati integrációs platformjában
Az IBM több tucat biztonsági sérülékenységhez adott ki javításokat az App Connect Enterprise (ACE) vállalati integrációs platformhoz. A biztonsági közlemények szerint a hibák között kritikus besorolású problémák is találhatók, amelyek bizonyos körülmények között távoli kódfuttatást, érzékeny adatok megszerzését vagy szolgáltatásmegtagadást tehetnek lehetővé.
Az App Connect Enterprise különböző vállalati alkalmazások, adatbázisok és üzleti rendszerek közötti adatcserét és folyamatintegrációt biztosít. Emiatt kompromittálása nemcsak az érintett szervert, hanem a hozzá kapcsolódó üzleti folyamatokat és adatkapcsolatokat is veszélyeztetheti.
A legsúlyosabb sérülékenységek a platform által használt Node.js-komponenseket érintik. A Handlebars sablonkezelő könyvtár CVE-2026-106446 és CVE-2026-106445 azonosítójú hibái megfelelő támadási feltételek mellett lehetővé tehetik rosszindulatú JavaScript-kód végrehajtását a kiszolgálón. A sérülékenységek CVSS-pontszáma 9,8, illetve 9,2. Más hibák az Axios HTTP-kliensben, a gRPC-komponensekben és további függőségekben találhatók, és többek között hitelesítési problémákat, adatvédelmi kockázatokat és szolgáltatáskiesést okozhatnak.
Az érintett verziók közé tartozik az App Connect Enterprise 12.0.1.0–12.0.12.30, valamint a 13.0.1.0–13.0.9.0 kiadása. Az IBM a 12.0.12.31 és 13.0.9.1 javítócsomagok telepítését javasolja, és nem közölt alternatív védekezési megoldást.
A gyártó további biztonsági javításokat is kiadott más vállalati termékeihez, köztük a QRadar SIEM naplóforrás-kezelő alkalmazásához és a TS4500 szalagos tárolórendszerhez.
