IBM - CVE-2026-14502
Date de publication :
Il s’agit d’une vulnérabilité dans le mécanisme d’authentification LDAP d’IBM DataPower Gateway.
IBM DataPower Gateway est une passerelle de sécurité et d’intégration de services, livrée sous forme de firmware. Elle traite les flux XML, JSON, SOAP et REST. Elle applique l’authentification, l’autorisation et la terminaison TLS. Elle route ensuite les requêtes vers les services applicatifs.
L’appliance ne rejette pas les mots de passe vides lors de la vérification des identifiants. Une tentative de connexion avec un mot de passe vide peut donc aboutir. L’attaque se fait à distance par le réseau. Sa complexité est faible. Elle ne nécessite ni authentification préalable ni interaction utilisateur.
Elle permet à un attaquant distant d’obtenir un accès administrateur à l’appliance, avec un impact élevé sur la confidentialité, l’intégrité et la disponibilité.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-287 : Improper Authentication
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• IBM DataPower Gateway 10.6CD versions 10.6.1 jusqu’à 10.6.6
• IBM DataPower Gateway 10.6.0 versions 10.6.0.0 jusqu’à 10.6.0.10
• IBM DataPower Gateway 11.0.0 versions 11.0.0.0 jusqu’à 11.0.0.2
• IBM DataPower Gateway 10.5.0 versions 10.5.0.0 jusqu’à 10.5.0.22
Solutions ou recommandations
• IBM DataPower Gateway 10.6.0 versions 10.6.0.11 et supérieures
• IBM DataPower Gateway 11.0.0 versions 11.0.0.3 et supérieures
• IBM DataPower Gateway 10.5.0 versions 10.5.0.23 et supérieures