Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-123218 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-07 |
| Producent | IBM |
| Produkt | Aspera Faspex |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, biuletyn IBM
IBM Aspera Faspex w wersjach od 5.0.0 do 5.0.19 zawiera błąd niepoprawnej autoryzacji (CWE-863). Użytkownik posiadający dostęp do systemu może przygotować spreparowany komunikat, który omija kontrolę uprawnień użytkownika, i w ten sposób uzyskać pełne uprawnienia administratora. IBM ocenił podatność na CVSS 9.8 (wektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Aspera Faspex służy do szybkiej wymiany dużych plików z partnerami i klientami, a jego interfejs jest zwykle wystawiony do internetu. Przejęcie konta administratora oznacza dostęp do wszystkich przesyłek, kont użytkowników i konfiguracji serwera.
Wymagane działania
- Zaktualizuj IBM Aspera Faspex do wersji 5.0.19 PL1 (Linux).
- Po aktualizacji sprawdź, czy obraz kontenera faspex-core ma wersję 5.0.19 (1ce4b13, Fix Pack: 1) — instrukcja aktualizacji obrazów kontenerów jest podlinkowana w biuletynie IBM.
- IBM nie podaje obejść ani środków tymczasowych. Do czasu aktualizacji ogranicz dostęp do interfejsu Faspex z internetu (np. VPN, lista dozwolonych adresów) i wyłącz zbędne konta zewnętrzne.
- Przejrzyj listę kont administratorów i logi zmian uprawnień pod kątem nieoczekiwanych nadań ról administracyjnych.
Kogo dotyczy?
Podatność dotyczy organizacji używających IBM Aspera Faspex 5 (wersje 5.0.0–5.0.19) firmy IBM do wymiany dużych plików z partnerami, klientami i oddziałami. Szczególnie narażone są instalacje, w których konta w Faspex mają użytkownicy zewnętrzni (klienci, podwykonawcy).
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-123218?
To błąd niepoprawnej autoryzacji (CWE-863) w IBM Aspera Faspex 5.0.0–5.0.19. Użytkownik z dostępem do systemu może wysłać spreparowany komunikat, obejść kontrolę uprawnień i uzyskać pełne uprawnienia administratora. IBM ocenił lukę na CVSS 9.8 (krytyczna).
Jak zabezpieczyć się przed CVE-2026-123218?
Zaktualizuj IBM Aspera Faspex do wersji 5.0.19 PL1 i sprawdź, czy obraz kontenera faspex-core ma wersję 5.0.19 (1ce4b13, Fix Pack: 1). IBM nie podaje obejść ani środków tymczasowych.
