Dells Speicherarray-Software für die EMC-Serie Unity, UnityVSA und Unity XT sind verwundbar. Angreifer können an vier Sicherheitslücken ansetzen. Eine dagegen gerüstete Version steht zum Download bereit.

Verschiedene Gefahren

In einer Warnmeldung führen die Entwickler aus, dass zwei Schwachstellen (CVE-2026-21418 „hoch“, CVE-2026-22277 „hoch“) die Software direkt betreffen. An beiden Lücken kann ein lokaler Angreifer mit niedrigen Nutzerrechten ansetzen. Weil Eingaben nicht ausreichend geprüft werden, können präparierte OS-Befehle Angreifer zum Root machen. In dieser Position kann er dann Schadcode ausführen und Systeme so kompromittieren.

Zwei weitere Schwachstellen betreffen die Drittanbieter-Komponenten DOMPurify (CVE-2024-47875 „mittel“) und Urlparse, urllib.parse.urlsplit (CVE-2025-0938 „mittel“). Hier kann es unter anderem zu XSS-Attacken kommen.

Dells Entwickler versichern, die Schwachstellen in Dell Unity Operating Environment (OE) 5.5.3 geschlossen zu haben. Alle vorigen Ausgaben sollen angreifbar sein. Bislang gibt es keine Berichte, dass Angreifer die Lücken bereits ausnutzen.

Zuletzt hat Dell Data Protection Advisor repariert.

(des)

Angreifer können Computer mit IBM Db2 attackieren, sich im schlimmsten Fall Root-Rechte verschaffen und Systeme im Anschluss kompromittieren. Sicherheitspatches lösen dieses Sicherheitsproblem und einige weitere. Bislang gibt es keine Berichte, dass Angreifer die Lücken bereits ausnutzen.

Patches verfügbar

Das Datenbankmanagementsystem ist insgesamt über 17 Softwareschwachstellen angreifbar. Zwei Lücken (CVE-2025-36384, CVE-2025-36184) sind mit dem Bedrohungsgrad „hoch“ eingestuft. Im ersten Fall können sich Angreifer mit Dateisystemzugriff höhere Rechte verschaffen. Im zweiten Fall ist das sogar bis zum Root-Nutzer möglich. In so einer Position ist davon auszugehen, dass Angreifer die volle Kontrolle über Systeme erlangen.

In diesen Fällen schaffen die Sicherheitsupdates Special Build #66394 für IBM Db2 11.5.9, Special Build #71609 für 12.1.3 und Special Build für 12.1.2 Abhilfe. IBMs Entwickler weisen darauf hin, dass davon wahrscheinlich auch Versionen bedroht sind, die sich nicht mehr im Support befinden. Diese Ausgaben bekommen keine Sicherheitsupdates mehr, sie bleiben deshalb verwundbar. Hier müssen Admins auf eine noch unterstützte Version upgraden.

Weitere Gefahren

Die verbleibenden Lücken sind mit „mittel“ eingestuft. An diesen Stellen können Angreifer etwa mit manipulierten Anfragen ansetzen, um DoS-Zustände auszulösen. Weitere Informationen zu den Lücken und Sicherheitsupdates finden sich unterhalb dieser Meldung in den verlinkten Warnmeldungen.

Erst kürzlich haben die Entwickler eine kritische Lücke in IBM Db2 Big SQL geschlossen.

Liste nach Bedrohungsgrad absteigend sortiert:

(des)

In der quelloffenen Verschlüsselungsbibliothek OpenSSL haben IT-Forscher 12 Sicherheitslücken entdeckt, eine davon gilt als kritisch. Angreifer können dadurch etwa Schadcode einschleusen. Bemerkenswert ist auch, dass die IT-Sicherheitsforscher die Schwachstellen mit KI-Systemen aufgespürt haben.

Das berichten die Mitarbeiter von Aisle in einem Blog-Beitrag. Ein Stack-basierter Pufferüberlauf kann beim Verarbeiten von „CMS AuthEnvelopeData“-Nachrichten mit bösartig manipulierten AEAD-Parametern durch verwundbare OpenSSL-Versionen auftreten. Das führt unter Umständen zu einem Absturz und dadurch zu einem Denial-of-Service; alkternativ kann jedoch auch Schadcode aus dem Netz zur Ausführung gelangen, erklärt das OpenSSL-Projekt in der Schwachstellenbeschreibung. Der Überlauf tritt vor einer Authentifizierung auf, es sind daher keine gültigen Keys oder Bestandteile davon nötig (CVE-2025-15467, CVSS 9.8, Risiko „kritisch“). Die US-amerikanische IT-Sicherheitsbehörde CISA kommt zu der höheren Risikoeinschätzung – das OpenSSL-Projekt selbst stuft das Sicherheitsleck lediglich als Risiko „hoch“ ein.

Eine zweite Sicherheitslücke besteht in der fehlenden Überprüfung einiger Parameter in PKCS#12-Zertifikatsdateien. Sorgsam präparierte Einträge können einen Stack-basierten Pufferüberlauf oder eine Null-Pointer-Dereferenz mit anschließendem Absturz der Software auslösen oder möglicherweise eingeschleusten Schadcode ausführen. Da es unüblich ist, nicht vertrauenswürdigen PKCS#12-Dateien in Apps zu vertrauen, da sie in der Regel private Schlüssel beherbergen, stufen die OpenSSL-Entwickler die Lücke als moderat ein (CVE-2025-11187, CVSS 6.1, Risiko „mittel“).

OpenSSL: Viele Lücken mit niedrigem Risiko

Die restlichen zehn Schwachstellen wurden lediglich als niedriges Sicherheitsrisiko eingestuft: Die Sicherheitslecks mit den Schwachstelleneinträgen CVE-2025-15468, CVE-2025-15469, CVE-2025-66199, CVE-2025-68160, CVE-2025-69418, CVE-2025-69419, CVE-2025-69420, CVE-2025-69421, CVE-2026-22795 und CVE-2026-22796 können Angreifer im Wesentlichen für Denial-of-Service-Angriffe missbrauchen.

Die Sicherheitslücken stopfen die OpenSSL-Versionen 3.6.1, 3.5.5, 3.4.4, 3.3.6 und 3.0.19. Einige der als niedriges Risiko eingestuften Lücken betreffen auch ältere Versionen, dort sollen OpenSSL 1.1.1ze und OpenSSL 1.0.2zn für Premium-Support-Kunden bereitstehen. IT-Verantwortliche sollten aufgrund der kritischen Sicherheitslücke die Updates zügig installieren.

Dass die Schwachstellen mittels KI-Tools von Aisle entdeckt wurden, überrascht ein wenig. Das curl-Projekt hat etwa sein Bug-Bounty-Programm eingestellt, da es von unbrauchbaren KI-Schwachstellenmeldungen überflutet wurde. Der Aufwand, die teils plausibel klingenden Meldungen zu untersuchen und am Ende herauszufinden, dass es sich um Halluzinationen oder einfach erschwindelte Lücken handelte, uferte zu sehr aus.

(dmk)