CVE-2026-10109

RCE w IBM Db2 — błąd obsługi pre-auth DRDA handshake

CVSS 9.8v3.1pub. 2026-06-30upd. 2026-07-02

IBM Db2 w wersjach 11.5.0–11.5.9 oraz 12.1.0–12.1.4 zawiera krytyczną podatność umożliwiającą zdalne wykonanie kodu (RCE) bez uwierzytelnienia. Błąd wynika z nieprawidłowej obsługi procesu negocjacji protokołu DRDA przed uwierzytelnieniem, co czyni go szczególnie niebezpiecznym.

▸ Pokaż oryginał (EN)

IBM Db2 11.5.0 through 11.5.9, and 12.1.0 through 12.1.4 is vulnerable to remote code execution due to improper pre-auth DRDA handshake handling.

🤖 Analiza AI

Jak działa

Podatność (CWE-94 — improper control of code generation) tkwi w mechanizmie obsługi handshake'u protokołu DRDA (Distributed Relational Database Architecture) na etapie poprzedzającym uwierzytelnienie użytkownika. Atakujący może wysłać specjalnie spreparowany pakiet DRDA do nasłuchującego serwera IBM Db2, nie posiadając żadnych danych uwierzytelniających. Nieprawidłowe przetworzenie tego pakietu pozwala na wstrzyknięcie i wykonanie złośliwego kodu w kontekście procesu serwera bazy danych.

Skutki

Nieuwierzytelniony zdalny atakujący może uzyskać pełną kontrolę nad serwerem IBM Db2, co obejmuje przejęcie danych, ich modyfikację lub zniszczenie, a także możliwość eskalacji dostępu do systemów infrastruktury, na których działa serwer bazy danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://www.ibm.com/support/pages/node/7277424. Dodatkowo, do czasu wdrożenia patcha, zaleca się ograniczenie dostępu sieciowego do portów IBM Db2 (domyślnie TCP 50000/50001) wyłącznie do zaufanych hostów za pomocą firewall.