IBM DB2: Mehrere Schwachstellen
WID-SEC-2025-0001 · première publication 02.01.2025 · mise à jour 12.10.2026 · CVSS 9,8
De quoi il s’agit
IBM DB2 ist ein relationales Datenbanksystem (RDBS) von IBM. Ein entfernter oder lokaler Angreifer kann mehrere Schwachstellen in IBM DB2 on Cloud Pak for Data ausnutzen, um seine Privilegien zu erhöhen, beliebigen Code auszuführen, vertrauliche Informationen offenzulegen, Sicherheitsmaßnahmen zu umgehen oder einen Denial-of-Service-Zustand zu erzeugen.
Dans quelles conditions ?
Par le réseau.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- seine Privilegien zu erhöhen
- beliebigen Code auszuführen
- vertrauliche Informationen offenzulegen
- Sicherheitsmaßnahmen zu umgehen oder einen Denial-of-Service-Zustand zu erzeugen
Suis-je concerné ?
Concernés selon le BSI :
- Red Hat Enterprise Linux
- IBM QRadar SIEM
- IBM DB2 <5.1.0
- IBM DB2 Warehouse <5.1.0
- IBM Spectrum Protect Plus <10.1.6.4
- IBM Cognos Analytics <12.0.4 IF2
- IBM Cognos Analytics <11.2.4 IF4
- IBM DB2 on Cloud Pak for Data
- IBM Spectrum Protect Plus <10.1.17.1
- Atlassian Confluence <10.1.1
- Atlassian Confluence <10.0.2
- Atlassian Confluence <9.2.7
et 2 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- IBM DB2 5.1.0
- IBM DB2 Warehouse 5.1.0
- IBM Spectrum Protect Plus 10.1.6.4
- IBM Cognos Analytics 12.0.4 IF2
- IBM Cognos Analytics 11.2.4 IF4
- IBM Spectrum Protect Plus 10.1.17.1
- Atlassian Confluence 10.1.1
- Atlassian Confluence 10.0.2
- Atlassian Confluence 9.2.7
- Atlassian Confluence 8.5.25
La faille est-elle déjà exploitée ?
- CVE-2023-41993: exploitée dans la nature selon la CISA, au catalogue depuis le 25.09.2023.
Informations et sources
- Avis original du BSI (WID)
- IBM Security Bulletin 7180361 vom 2025-01-07 www.ibm.com
- IBM Security Bulletin vom 2025-01-01 www.ibm.com
- Red Hat Security Advisory RHSA-2025:1227 vom 2025-02-12 access.redhat.com
- IBM Security Bulletin 7183676 vom 2025-02-27 www.ibm.com
- IBM Security Bulletin 7229443 vom 2025-03-28 www.ibm.com
- IBM Security Bulletin 7237702 vom 2025-06-24 www.ibm.com
- IBM Security Bulletin 7249276 vom 2025-10-27 www.ibm.com
- Atlassian Security Bulletin - November 18 2025 confluence.atlassian.com
- Oracle Linux Security Advisory ELSA-2026-73519 vom 2026-10-09 linux.oracle.com
CVE: CVE-2021-32740, CVE-2021-41186, CVE-2022-0759, CVE-2022-24795, CVE-2022-31163, CVE-2023-39325, CVE-2023-41993, CVE-2023-45283, CVE-2023-45288, CVE-2023-6597, CVE-2024-0406, CVE-2024-20918, CVE-2024-20952, CVE-2024-2398, CVE-2024-24786, CVE-2024-27281, CVE-2024-2961, CVE-2024-29857, CVE-2024-33599, CVE-2024-33883 …
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.