IBM - CVE-2026-18166
Date de publication :
Il s’agit d’une vulnérabilité dans la commande CREATE WRAPPER d’IBM Db2 pour Linux, UNIX et Windows.
IBM Db2 est un système de gestion de bases de données relationnelles édité par IBM. Il est disponible sur Linux, UNIX et Windows. Il propose une fonction de fédération de données, qui permet d’interroger des sources externes grâce à des wrappers.
Cette commande enregistre un wrapper sur un serveur fédéré. Un wrapper est constitué de fichiers de bibliothèque. Les contrôles d’autorisation sont incorrects lors de l’utilisation de cette commande. Le chargement de bibliothèque arbitraire devient possible. Un utilisateur authentifié de la base peut l’exploiter à distance par le réseau. La complexité d’attaque est faible. Aucune interaction d’un utilisateur n’est nécessaire. Le vecteur CVSS indique un changement de périmètre. L’impact porte uniquement sur la confidentialité. Toutes les plateformes sont affectées, sur l’édition Server. IBM ne divulgue pas les détails techniques de l’exploitation.
Elle permet à un attaquant distant authentifié de lire des fichiers sensibles du système hôte et d’obtenir des informations confidentielles.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Atteinte à la confidentialité des données
Exploitation
CWE-284 : Improper Access Control
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• IBM Db2 versions 11.5.0 jusqu’à 11.5.9
• IBM Db2 versions 12.1.0 jusqu’à 12.1.5
Solutions ou recommandations
• IBM Db2 branche 12.1 : version 12.1.4 avec le Security Update #94722 et supérieurs, version 12.1.5 avec le Security Update #94858 et supérieurs