IBM WebSphere Application Server Liberty hozzáférés-szabályozási, jogosultság-ellenőrzési és szolgáltatásmegtagadási (DoS) hibái (CVE-2026-93895, CVE-2026-95695, CVE-2026-95696)

Mi történt

A legsúlyosabb probléma a CVE-2026-93895 azonosítójú, nem megfelelő hozzáférés-szabályozást lehetővé tevő hiba. A hitelesítés nélküli távoli támadó a hálózaton keresztül elérheti az érintett Liberty-kiszolgálókat, megkerülheti a gRPC-szolgáltatások metódusain beállított hozzáférés-szabályozást, és adott esetben hitelesítő adatok nélkül hozzáférhet a szolgáltatás funkcióihoz és adataihoz. Az IBM a sérülékenységet kritikusnak minősíti; a CVSS 9,1-es pontszámú vektor jellemzői: hálózati támadási felület, alacsony komplexitás, nincs szükség jogosultságra vagy felhasználói interakcióra, a bizalmasságra és a sértetlenségre gyakorolt hatás pedig magas.

A CVE-2026-95695 egy ettől elkülönülő, helytelen jogosultság-ellenőrzésből adódó hiba. A távoli támadó – szintén hitelesítő adatok nélkül – megkerülheti a biztonsági korlátozásokat. A CVSS-pontszám 7,4, a támadás végrehajtása magas komplexitású, sikeres kihasználás esetén a bizalmasságra és a sértetlenségre gyakorolt hatás magas.

A CVE-2026-95696 lehetővé teszi, hogy távoli támadó kezeletlen kivétellel szolgáltatásmegtagadást idézzen elő. CVSS-pontszáma 6,5, a bizalmasságra és a rendelkezésre állásra gyakorolt hatás alacsony. A három sérülékenység egyikéről sem érkezett jelentés aktív kihasználásról vagy nyilvános közzétételről, és egyik sem szerepel a CISA KEV-jegyzékében.

Kit érint

Az IBM WebSphere Application Server – Liberty 20.0.0.12-től 26.0.0.10-ig terjedő verziói érintettek. Ez az IBM alkalmazáskiszolgáló-terméke. A szervezeteknek minden internet felől elérhető Liberty-példányt, valamint minden olyan példányt, amely kevésbé megbízható belső hálózatokból elérhető, kitettként kell kezelniük, mert mindhárom hiba hitelesítés nélkül, távolról kihasználható.

Mit kell most tenni

1. Telepítse az IBM javítását. Az IBM kiadta a közleményhez tartozó javítást; a javított kiadásért keresse fel az IBM 7292228-as számú támogatási oldalát. A CVE-rekordok nem adnak meg konkrét javított verziószámot.
2. A javítások telepítéséig korlátozza a Liberty gRPC-végpontjainak hálózati elérhetőségét úgy, hogy csak megbízható kliensek érhessék el azokat.
3. Tekintse át a gRPC-szolgáltatások metódusainak hozzáférés-szabályozási és jogosultság-ellenőrzési beállításait az érintett Liberty-telepítésekben.
4. Figyelje az érintett példányokat a kezeletlen kivételekre és az ismétlődő szolgáltatáskiesésekre, amelyek a szolgáltatásmegtagadási hiba kihasználásának kísérletére utalhatnak.

Hogyan észlelhető

A CVE-rekordok nem tartalmaznak a gyártó által közzétett, kompromittálódásra utaló jeleket. Első lépésként mérje fel azokat a WebSphere Application Server Liberty-példányokat, amelyek gRPC-végpontjai nem megbízható hálózatokból elérhetők, és tekintse át a szolgáltatásmetódusaik hozzáférés-szabályozását. Figyelje az érintett példányokat a kezeletlen kivételekre és az ismétlődő szolgáltatáskiesésekre.

A javításon túl

Ezek a hibák hálózatról, hitelesítő adatok nélkül kihasználhatók egy alkalmazáskiszolgálón, ezért a közvetlen kockázat a kitettség: mely Liberty-példányok és gRPC-végpontok érhetők el, és honnan. A Virtuális CISO szolgáltatás (vCISO) segít feltérképezni és rangsorolni ezt a kitettséget, az Ellátási lánc védelem és harmadik fél kockázata pedig azt követi nyomon, hogy egy beszállító – például az IBM – milyen gyorsan zárja le a problémákat az Ön környezetében. Először telepítse a javítást, majd ugyanezt a láthatóságot használva szűkítse a támadási útvonalat a következő biztonsági közleményhez.