Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-107331 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-08 |
| Producent | IBM |
| Produkt | DataStage on Cloud Pak for Data |
| CVSS Score | 9.9 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, biuletyn IBM
IBM DataStage on Cloud Pak for Data w wersji 5.4.0.0 zawiera błąd typu absolute path traversal (CWE-36). Zdalny, uwierzytelniony atakujący może przekazać aplikacji bezwzględną ścieżkę do pliku i w ten sposób uzyskać dostęp do danych spoza katalogu, do którego aplikacja powinna go ograniczać. IBM ocenił podatność na CVSS 9.9 (wektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) — wysoka ocena wpływu na poufność, integralność i dostępność oraz zmiana zakresu (S:C) oznaczają, że skutki mogą wykraczać poza samą usługę DataStage.
DataStage służy do budowy procesów ETL i integracji danych, więc ma zwykle dostęp do poświadczeń źródeł danych, plików konfiguracyjnych i danych biznesowych. Luka została opisana w zbiorczym biuletynie IBM „DataStage on Cloud Pak for Data has several vulnerabilities” (27 października 2026), obok podatności w bibliotekach zewnętrznych.
Wymagane działania
- Zaktualizuj DataStage on Cloud Pak for Data do wersji 5.4 patch 8 lub nowszej, zgodnie z instrukcją podlinkowaną w biuletynie IBM.
- IBM nie podaje obejść ani środków tymczasowych. Do czasu aktualizacji ogranicz liczbę kont z dostępem do DataStage i dostęp sieciowy do konsoli Cloud Pak for Data.
- Przejrzyj logi dostępu do usługi DataStage pod kątem nietypowych żądań z bezwzględnymi ścieżkami plików.
- Jeśli istnieje podejrzenie wykorzystania luki, zrotuj poświadczenia do źródeł danych przechowywane w konfiguracji DataStage.
Kogo dotyczy?
Podatność dotyczy organizacji używających IBM DataStage on Cloud Pak for Data w wersji 5.4.0.0 firmy IBM — najczęściej w bankowości, ubezpieczeniach, sektorze publicznym i dużych przedsiębiorstwach, gdzie DataStage obsługuje hurtownie danych i integrację systemów. Klasyczne instalacje IBM InfoSphere DataStage poza Cloud Pak for Data nie są wymienione w biuletynie.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-107331?
To błąd typu absolute path traversal (CWE-36) w IBM DataStage on Cloud Pak for Data 5.4.0.0. Zdalny, uwierzytelniony atakujący może podać bezwzględną ścieżkę i sięgnąć do plików poza katalogiem przewidzianym przez aplikację. IBM ocenił lukę na CVSS 9.9 (krytyczna).
Kogo dotyczy podatność CVE-2026-107331?
Organizacji używających usługi DataStage w IBM Cloud Pak for Data w wersji 5.4.0.0 — najczęściej do procesów ETL i integracji danych w bankowości, ubezpieczeniach i dużych przedsiębiorstwach.
Jak zabezpieczyć się przed CVE-2026-107331?
Zaktualizuj DataStage on Cloud Pak for Data do wersji 5.4 patch 8 lub nowszej zgodnie z instrukcją z biuletynu IBM. IBM nie podaje obejść ani środków tymczasowych.
