Vulnérabilités IBM activement exploitées (KEV)

CVE-2026-9198 — IBM Langflow : vulnérabilité d'injection de code Critique

• Produit : IBM Langflow
• Ajoutée au catalogue : 4 août 2026
• Échéance CISA : 7 août 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 29 %

Langflow contient une vulnérabilité d'injection de code qui permet à des attaquants non authentifiés d'obtenir une exécution de code à distance complète sur les déploiements par défaut de langflow.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · ibm.com

Fiche détaillée : versions, références, chronologie →

CVE-2022-47986 — IBM Aspera Faspex : vulnérabilité d'exécution de code Critique

• Produit : IBM Aspera Faspex
• Ajoutée au catalogue : 21 février 2023
• Échéance CISA : 14 mars 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-502
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %

IBM Aspera Faspex pourrait permettre à un attaquant distant d'exécuter du code sur le système, causé par une faille de désérialisation YAML.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · exchange.xforce.ibmcloud.com

Fiche détaillée : versions, références, chronologie →

CVE-2013-3993 — IBM InfoSphere BigInsights : vulnérabilité d'entrée invalide

• Produit : IBM InfoSphere BigInsights
• Ajoutée au catalogue : 25 mai 2022
• Échéance CISA : 15 juin 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-264
• Gravité : CVSS 6,5 (moyenne)
• Probabilité d’exploitation (EPSS) : 5 %

Certaines api au sein de biginsights peuvent accepter une entrée invalide qui pourrait permettre à des attaquants d'accéder sans autorisation pour lire, écrire, modifier ou supprimer des données.

Action requise : Le produit impacté est en fin de vie et doit être déconnecté s'il est toujours utilisé.

Références : NVD · CISA

CVE-2015-7450 — IBM WebSphere Application Server and Server Hypervisor Edition : injection de code

• Produit : IBM WebSphere Application Server and Server Hypervisor Edition
• Ajoutée au catalogue : 10 janvier 2022
• Échéance CISA : 10 juillet 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 98 %

Les interfaces d'objets sérialisés dans certains produits IBM analytics, business solutions, cognitive, IT infrastructure, et mobile et social permettent à des attaquants distants d'exécuter des commandes arbitraires

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-4430 — IBM Data Risk Manager : vulnérabilité de traversée de répertoires

• Produit : IBM Data Risk Manager
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 4,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 69 %

IBM Data Risk Manager contient une vulnérabilité de traversée de répertoires qui pourrait permettre à un attaquant authentifié à distance de traverser des répertoires et d'envoyer une requête URL spécialement élaborée pour télécharger des fichiers arbitraires du système.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-4428 — IBM Data Risk Manager : exécution de code à distance

• Produit : IBM Data Risk Manager
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 9,1 (critique)
• Probabilité d’exploitation (EPSS) : 62 %

IBM Data Risk Manager contient une vulnérabilité non spécifiée qui pourrait permettre à un attaquant distant et authentifié d'exécuter des commandes sur le système.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-4427 — IBM Data Risk Manager : vulnérabilité de contournement de sécurité

• Produit : IBM Data Risk Manager
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 70 %

IBM Data Risk Manager contient une vulnérabilité de contournement de sécurité qui pourrait permettre à un attaquant à distance de contourner les restrictions de sécurité lorsqu'il est configuré avec l'authentification SAML. En envoyant une requête HTTP spécialement élaborée, un attaquant pourrait exploiter cette vulnérabilité pour contourner le processus d'authentification et obtenir un accès administratif complet au système.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-4716 — IBM Planning Analytics : exécution de code à distance

• Produit : IBM Planning Analytics
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 86 %

IBM Planning Analytics est vulnérable à une écrasement de configuration qui permet à un utilisateur non authentifié de se connecter en tant que "admin", puis d'exécuter du code en tant que root ou SYSTEM via le scripting TM1.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA