Aktywnie wykorzystywana w atakach
IBM Aspera Faspex Code Execution Vulnerability
IBM - Aspera Faspex · Figuruje w katalogu CISA KEV od 2023-02-21. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-47986
KrytyczneCVSS 9.8KEVStreszczenie
IBM Aspera Faspex 4.4.2 Patch Level 1 i wcześniejsze może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu w systemie z powodu błędu deserializacji YAML. Wysyłając specjalnie spreparowane wywołanie przestarzałego API, atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Przestarzałe wywołanie API zostało usunięte w Faspex 4.4.2 PL2.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze Aspera Faspex, co może prowadzić do pełnego przejęcia systemu i dostępu do przesyłanych danych.
Rekomendacja
Zaktualizuj IBM Aspera Faspex do wersji 4.4.2 Patch Level 2 lub nowszej, która usuwa przestarzałe wywołanie API.
Inne podatności w IBM Aspera Faspex
Zobacz wszystkie- CVE-2026-14959Krytyczne
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez wstrzyknięcie poleceń powłoki.
- CVE-2026-14958Krytyczne
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez niecytowaną interpolację powłoki.
- CVE-2026-14996Wysokie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 zawiera lukę związaną z zarządzaniem sesjami.
- CVE-2025-36230Średnie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 jest podatny na wstrzyknięcie kodu HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny hostującej.
- CVE-2025-36229Niskie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 pozwala uwierzytelnionym użytkownikom na enumerację identyfikatorów pakietów, co umożliwia uzyskanie informacji o danych. Luka dotyczy wycieku informacji wrażliwych poprzez odgadywanie identyfikatorów.
- CVE-2025-36228Niskie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 może mieć niespójne uprawnienia między interfejsem użytkownika a backendowym API, co pozwala użytkownikom na dostęp do funkcji, które wydawały się wyłączone. Może to prowadzić do niewłaściwego użycia.
- CVE-2025-36171Średnie
IBM Aspera Faspex w wersjach od 5.0.0 do 5.0.13.1 może pozwolić uprzywilejowanemu użytkownikowi na wywołanie odmowy usługi (DoS) poprzez nieprawidłowo zwalidowane dane wejściowe API, prowadzące do nadmiernego zużycia zasobów.
Oryginalny opis (angielski, źródło NVD)
IBM Aspera Faspex 4.4.2 Patch Level 1 and earlier could allow a remote attacker to execute arbitrary code on the system, caused by a YAML deserialization flaw. By sending a specially crafted obsolete API call, an attacker could exploit this vulnerability to execute arbitrary code on the system. The obsolete API call was removed in Faspex 4.4.2 PL2. IBM X-Force ID: 243512.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS