В IBM DataPower Gateway обнаружена уязвимость переполнения кучи (out-of-bounds write), позволяющая удалённому атакующему вызвать отказ в обслуживании. Проблема затрагивает ветки 10.5.0, 10.6.0, 10.6.1 и 11.0.0. Уровень опасности — высокий (CVSS 7.5).
IBM опубликовала информацию об уязвимости CVE-2026-16170 в продукте IBM DataPower Gateway — шлюзе, который используется для интеграции, безопасности и управления API в корпоративных средах. Ошибка относится к классу переполнения буфера в куче (heap buffer overflow) и классифицируется как out-of-bounds write.
Подробности
Уязвимость затрагивает следующие версии IBM DataPower Gateway:
- 10.5.0.0 — 10.5.0.22;
- 10.6.0.0 — 10.6.0.10;
- 10.6.1 — 10.6.6;
- 11.0.0.0 — 11.0.0.2.
Согласно описанию, удалённый атакующий может воспользоваться этой ошибкой для того, чтобы вызвать отказ в обслуживании (denial of service) устройства. Причиной является переполнение буфера в куче при обработке данных, что приводит к записи за пределами выделенной области памяти. Подобные дефекты способны нарушить нормальную работу сервиса, а в некоторых сценариях — привести к нестабильности или полной остановке обработки запросов.
Уязвимости присвоен базовый балл CVSS 7.5, что соответствует высокому уровню опасности. Вектор атаки — сетевой (remote), что означает возможность эксплуатации без локального доступа к системе. Информация о наличии публичного эксплойта в записи CVE не приводится, однако сам характер ошибки (переполнение буфера) делает её потенциально привлекательной для автоматизированных атак, направленных на нарушение доступности сервисов.
Следует отметить, что DataPower Gateway часто размещается на периметре корпоративной сети и обрабатывает внешний трафик, поэтому подобные уязвимости заслуживают повышенного внимания со стороны служб ИБ.
Что делать
Основная рекомендация — обновить IBM DataPower Gateway до версии, в которой устранена уязвимость. IBM выпускает исправления в рамках поддерживаемых релизов, поэтому администраторам следует:
- проверить точную версию установленного шлюза и сопоставить её с перечнем уязвимых сборок;
- установить актуальный фиксированный апдейт, рекомендованный вендором для соответствующей ветки (10.5.0, 10.6.0, 10.6.1 или 11.0.0);
- при невозможности немедленного обновления — ограничить сетевой доступ к интерфейсам управления и обработки трафика, применять фильтрацию на периметре и усилить мониторинг аномалий, связанных с падением сервисов или исчерпанием памяти;
- отслеживать официальные бюллетени безопасности IBM для получения точных номеров патчей и возможных дополнительных митигаций.
Стоит учитывать, что производитель может публиковать уточнения и временные обходные меры по мере анализа уязвимости.
Итог: CVE-2026-16170 — высокоопасная уязвимость переполнения буфера в IBM DataPower Gateway, приводящая к отказу в обслуживании. Учитывая сетевой вектор атаки и роль продукта на периметре, обновление до исправленной версии следует провести в приоритетном порядке.
Источник: CVE Project (cvelistV5)
