IBM WebSphere Extreme Scale CSP-konfigurációs hibája XSS-t és biztonsági korlátozások megkerülését teszi lehetővé (CVE-2026-101117)

Mi történt

Az IBM WebSphere Extreme Scale 8.6.1.0 és 8.6.2.2 közötti verzióit a Content Security Policy (CSP) nem megfelelő konfigurációja érinti, amelyet a CVE-rekord CWE-16-ként osztályoz. A CVSS 3.1 szerinti vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, az alappontszám pedig 9,1. Gyakorlati értelemben egy távoli támadó hálózaton keresztül elérheti az érintett összetevőt, nincs szüksége hitelesítő adatokra, és semmilyen felhasználói közreműködést nem igényel. Sikeres kihasználás esetén sérül az adatok bizalmassága és sértetlensége, a rendelkezésre állás azonban nem.

Az IBM CVE-címe a hibát cross-site scriptingként (XSS) írja le, ami arra utal, hogy a nem megfelelően konfigurált Content Security Policy lehetővé teheti a támadó számára a böngésző azon korlátozásainak megkerülését, amelyek normál esetben korlátozzák a szkriptek futtatását. A CVE-rekord leírása a hatást tágabban, biztonsági korlátozás megkerüléseként fogalmazza meg. A CVE-rekord nem tartalmaz arra vonatkozó közlést, hogy a hibát nyilvánosan közzétették vagy kihasználták volna, a CISA Known Exploited Vulnerabilities katalógusa pedig nem tartalmazza ezt a CVE-t.

Kit érint

Az IBM WebSphere Extreme Scale 8.6.1.0 és 8.6.2.2 közötti verziói érintettek. A CVE-rekord nem sorol fel más érintett terméket vagy verziót, ezért ha ebből a verziótartományból futtat egy példányt, mindaddig sebezhetőként kezelje, amíg az IBM-mel meg nem erősítette az ellenkezőjét.

Mit kell most tenni

1. Ellenőrizze, hogy a környezetében üzemelő WebSphere Extreme Scale-telepítések valamelyike 8.6.1.0 és 8.6.2.2 közötti verziót futtat-e.
2. Nyissa meg az IBM támogatási oldalt ehhez a CVE-hez, hogy azonosítsa a javított kiadást. A CVE-rekord jelzi, hogy létezik javítás, de nem sorolja fel a konkrét javított verziót, ezért az IBM biztonsági közleményét tekintse irányadónak.
3. Telepítse az IBM javítását. A CVSS-alappontszám 9,1, ami kritikus besorolást jelent; ennek megfelelő sürgősséggel ütemezze a változtatást.
4. Ha nem tudja azonnal telepíteni a javítást, korlátozza az érintett példányok hálózati elérését kizárólag megbízható hosztokra, és figyelje a váratlan adminisztratív vagy tartalmi változásokat. A CVE-rekordban nem tettek közzé semmilyen kerülő megoldást vagy enyhítést.

A javításon túl

Mivel ez a hiba hálózaton keresztül, hitelesítő adatok nélkül elérhető, az első kérdés az, hogy a WebSphere Extreme Scale-példányai a megbízható rendszereken kívül bármi más felől elérhetők-e. A Virtuális CISO szolgáltatás segít feltárni és megszüntetni ezt a kitettséget. A beszállítói oldalon a javítás telepítésére rendelkezésre álló idő az IBM kiadási ciklusától és attól függ, mennyire látja át, hogy mely beszállítók szoftvereit futtatja; az Ellátási lánc védelem és harmadik féltől származó kockázatok nyomon követi ezeket a függőségeket, így a kitettsége mérhetővé válik, nem csupán feltételezés marad.