CVE-2026-14958

IBM Aspera Faspex 5 – RCE przez command injection (niecytowana interpolacja powłoki)

CVSS 9.1v3.1pub. 2026-07-28upd. 2026-08-05

Podatność w IBM Aspera Faspex 5 (wersje 5.0.0–5.0.15.4) umożliwia zdalnemu, uwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze. Wynika z nieprawidłowej obsługi danych wejściowych w powłoce systemowej (niecytowana interpolacja), co sklasyfikowano jako command injection (CWE-78).

▸ Pokaż oryginał (EN)

IBM Aspera Faspex 5 5.0.0 through 5.0.15.4 could allow a remote authenticated attacker to execute arbitrary code due to unquoted shell interpolation.

🤖 Analiza AI

Jak działa

Aplikacja IBM Aspera Faspex 5 w podatnych wersjach przekazuje dane kontrolowane przez użytkownika bezpośrednio do poleceń powłoki bez odpowiedniego cytowania lub sanityzacji. Atakujący z dostępem do konta w systemie może spreparować odpowiednie dane wejściowe, które zostaną zinterpretowane przez powłokę jako dodatkowe polecenia systemowe. Mechanizm ten (niecytowana interpolacja zmiennych) pozwala na wstrzyknięcie i wykonanie arbitralnych poleceń w kontekście procesu aplikacji.

Skutki

Atakujący może uzyskać możliwość wykonania dowolnego kodu na serwerze, co przy wyniku CVSS obejmującym pełne naruszenie poufności, integralności i dostępności może prowadzić do całkowitego przejęcia kontroli nad systemem, kradzieży danych lub zakłócenia działania usługi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.ibm.com/support/pages/node/7280530). Zalecana jest aktualizacja do wersji wyższej niż 5.0.15.4, jeśli jest dostępna. Do czasu zastosowania łatki należy ograniczyć dostęp do interfejsu aplikacji wyłącznie do zaufanych i uwierzytelnionych użytkowników oraz monitorować logi systemowe pod kątem podejrzanych wywołań powłoki.