IBM Aspera Faspex jogosultság-ellenőrzést megkerülő sérülékenysége révén távoli támadók rendszergazdai irányítást szerezhetnek (CVE-2026-123218)

Mi történt

Az IBM Aspera Faspex 5.0.0-tól 5.0.19-ig terjedő verziói jogosultság-ellenőrzést megkerülő sérülékenységet tartalmaznak (CWE-863). A támadó speciálisan kialakított üzenettel megkerülheti a felhasználói jogosultság-ellenőrzést, és teljes körű rendszergazdai jogosultságot szerezhet. A CVE-bejegyzés CVSS 3.1-es vektora ezt a sérülékenységet 9,8-as pontszámmal kritikusnak minősíti: hálózaton keresztül elérhető, nem igényel jogosultságot és felhasználói beavatkozást, és magas hatással van a bizalmasságra, a sértetlenségre és a rendelkezésre állásra.

Az IBM leírása jogosult felhasználót említ, a CVSS-vektor szerint viszont nincs szükség jogosultságra. A szolgáltatást ezért előzetes hozzáférés nélkül is elérhetőnek kell tekinteni, kivéve, ha az adott telepítés az ellenkezőjét igazolja.

A CISA 2026. november 9-én vette fel a CVE-2026-123218 azonosítót a KEV-katalógusba, a CISA SSVC-értékelése pedig a kihasználást aktívnak és automatizálhatónak minősíti, és teljes technikai hatást jelez. Az IBM nem tett közzé kerülő megoldást.

Kit érint

Az IBM Aspera Faspex 5.0.0-tól 5.0.19-ig terjedő verziói érintettek. A Faspex jellemzően menedzselt nagyméretű fájlátvitelre szolgál. A szervezeteknek ellenőrizniük kell, hogy a Faspex webes vagy felügyeleti felülete elérhető-e nem megbízható hálózatok felől. Más érintett terméket nem soroltak fel.

Mit kell most tenni

1. Telepítse az IBM javítását. Az IBM biztonsági közleménye szerint elérhető javítás, ezen az oldalon azonban nem szerepel konkrét javított verziószám; a telepített verzióhoz tartozó aktuális javított kiadást az IBM támogatási oldalán ellenőrizze.
2. Amíg teszteli és telepíti a frissítést, korlátozza az Aspera Faspex felület hálózati elérhetőségét megbízható felhasználókra és hálózatokra.
3. Ellenőrizze az Aspera Faspex rendszergazdai fiókjait, szerepköreit és jogosultságait, keresve a váratlan hozzáadásokat vagy módosításokat.
4. Ha nem tudja azonnal telepíteni a javítást, figyelje az Aspera Faspex auditnaplóit, és mérlegelje a felület levételét a nyilvános internetről, amíg a frissítést nem alkalmazza.

Hogyan észlelhető

Az IBM biztonsági közleménye nem ad meg kompromittálódásra utaló jeleket. Ellenőrizze az Aspera Faspex rendszergazdai fiókjait és auditnaplóit váratlan jogosultságmódosulások, új rendszergazdai fiókok vagy az átviteli házirendek módosulásai szempontjából.

A javításon túl

A kihasználtság ténye azonnali figyelmet igényel: a CISA KEV-bejegyzése és SSVC-értékelése egyaránt aktívan kihasználtként jelöli a sérülékenységet, a CVSS-vektor szerint pedig egy elérhetővé tett Faspex-felület hitelesítő adatok nélkül átvehető. A Menedzselt kiberbiztonsági felügyelet (MDR) figyeli a kihasználást követő, emelt szintű hozzáféréssel kapcsolatos változásokat, a Virtuális CISO szolgáltatás (vCISO) pedig segíthet felderíteni és csökkenteni a kitett szolgáltatásokat, még azelőtt, hogy azok célponttá válnának.