Autorisierungsumgehung in IBM Aspera Faspex ermöglicht entfernten Angreifern Administratorzugriff (CVE-2026-123218)

Was passiert ist

IBM Aspera Faspex 5.0.0 bis 5.0.19 enthält eine Autorisierungsumgehung (CWE-863). Ein Angreifer kann eine speziell gestaltete Nachricht erstellen, um die Benutzerautorisierung zu umgehen und vollständige Administratorrechte zu erlangen. Der CVSS-3.1-Vektor des CVE-Eintrags stuft die Schwachstelle mit 9,8 als kritisch ein; sie ist ohne Berechtigungen und ohne Benutzerinteraktion über das Netzwerk erreichbar und hat hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Beschreibung von IBM bezieht sich auf einen autorisierten Benutzer, während der CVSS-Vektor keine erforderlichen Berechtigungen ausweist. Behandeln Sie den Dienst als ohne vorherigen Zugriff erreichbar, sofern Ihre Bereitstellung nichts anderes belegt.

CISA hat CVE-2026-123218 am 9. November 2026 in den KEV-Katalog aufgenommen; die SSVC-Bewertung kennzeichnet die Ausnutzung als aktiv und automatisierbar, mit vollständigen technischen Auswirkungen. IBM hat keine Problemumgehung veröffentlicht.

Wer betroffen ist

Betroffen sind IBM Aspera Faspex in den Versionen 5.0.0 bis 5.0.19. Faspex wird üblicherweise für den verwalteten Transfer großer Dateien genutzt. Organisationen sollten prüfen, ob die Web- oder Verwaltungsoberfläche von Faspex aus nicht vertrauenswürdigen Netzwerken erreichbar ist. Weitere betroffene Produkte werden nicht genannt.

Was jetzt zu tun ist

1. Spielen Sie die Korrektur von IBM ein. Der Sicherheitshinweis von IBM gibt an, dass eine Korrektur verfügbar ist; eine korrigierte Versionsnummer wird auf dieser Seite jedoch nicht genannt. Prüfen Sie auf der IBM-Supportseite, welches korrigierte Release für Ihre installierte Version aktuell ist.
2. Schränken Sie die Erreichbarkeit der Aspera-Faspex-Oberfläche auf vertrauenswürdige Benutzer und Netzwerke ein, während Sie das Update testen und bereitstellen.
3. Überprüfen Sie Administratorkonten, Rollen und Berechtigungen von Aspera Faspex auf unerwartete Ergänzungen oder Änderungen.
4. Wenn Sie das Sicherheitsupdate nicht sofort einspielen können, überwachen Sie die Audit-Protokolle von Aspera Faspex und ziehen Sie in Betracht, die Oberfläche bis zum Einspielen des Updates aus dem öffentlichen Internet zu nehmen.

Wie man es erkennt

Der Sicherheitshinweis von IBM enthält keine Kompromittierungsindikatoren. Überprüfen Sie Administratorkonten und Audit-Protokolle von Aspera Faspex auf unerwartete Berechtigungsänderungen, neue Administratorkonten oder Änderungen an Transferrichtlinien.

Über den Patch hinaus

Der Status als aktiv ausgenutzte Schwachstelle ist die unmittelbare Sorge: Der KEV-Eintrag von CISA und die SSVC-Bewertung kennzeichnen die Schwachstelle als aktiv ausgenutzt, und der CVSS-Vektor bedeutet, dass eine exponierte Faspex-Oberfläche ohne Anmeldedaten übernommen werden kann. Mit Managed Detection and Response (MDR) überwachen wir Änderungen an privilegierten Zugriffsrechten, die auf eine Ausnutzung folgen, und mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, exponierte Dienste zu erkennen und zu reduzieren, bevor sie zum Ziel werden.