Высокий

Патч

Опубликована

CVE-2025-36255

DS8900F and DS8A00 Privilege Escalation

Публикация: 20.08.2026·Обновлена: 20.08.2026, 19:27·Europe/Moscow

Что произошло

Перевод ещё не доступен · оригинальное описание

IBM System Storage DS8A00 10.1.3.0 through 10.11.35.0 and IBM DS8900F 89.40.83.0 through 89.44.25.0 could allow an authenticated user to create a user with privileged user roles due to improper privileged defined with unsafe actions.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Сформировано автоматически из полей источников и общих шаблонов

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

IBM strongly recommends addressing the vulnerability now. Refer to https://www.ibm.com/support/pages/ds8000-code-recommendation for instructions on how to upgrade the Microcode Bundles listed below and other information. DS8A00 fixes are delivered in Microcode Bundle 10.11.34.1 and 10.12.39.0 Note: Customers currently on 10.11.34.0 may update to 10.11.34.1. This is an HMC-only update and does not require a full code update. DS8900F fixes are delivered in Microcode Bundle 89.44.17.1, 89.44.25.1, 89.44.26.0 and 89.45.10.0. Note: Customers currently on 89.44.17.0 may update to 89.44.17.1. This is an HMC-only update and does not require a full code update. Customers currently on 89.44.25.0 may update to 89.44.25.1. This is an HMC-only update and does not require a full code update. 89.44.26.0 is full code update.

CVE Record: ibm ↗

3. Временные меры

DS8900F and DS8A00 commonly known as DS8K is installed in client data center and clients control access to the system. DS8K offers multiple security features like LDAP, Multi-factor authentication, audit logging etc., that allows clients to control and audit personnel access to their DS8K. In addition, DS8K has implemented IBM approved challenge-response system to control IBM service personnel accessing the system either locally or remotely. So, a malicious attacker must meticulously bypass multiple layers of authentication by exploiting known open-source vulnerabilities to gain access to DS8K. The first step would be gaining access through the client infrastructure. While the issue must be mitigated at the earliest, it doesn’t pose an immediate vulnerability due to existing access controls implemented in DS8K. In addition, DS8K supports deployment of code fixes either via remote code load process or locally by IBM personnel. DS8K clients can deploy code fixes too.

CVE Record: ibm ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

IBM / DS8A00( R10.0 - R10.1 )

{
  "status": "affected",
  "version": "10.1.3.0",
  "versionType": "semver",
  "lessThanOrEqual": "10.11.35.0"
}

cpe:2.3:o:ibm:system_storage_ds8A00:10.1.3.0:*:*:*:*:*:*:*

cpe:2.3:o:ibm:system_storage_ds8A00:10.11.35.0:*:*:*:*:*:*:*

IBM / DS8900F ( R9.4)

{
  "status": "affected",
  "version": "89.40.83.0",
  "versionType": "semver",
  "lessThanOrEqual": "89.44.25.0"
}

cpe:2.3:o:ibm:system_storage_ds8900f:89.40.83.0:*:*:*:*:*:*:*

cpe:2.3:o:ibm:system_storage_ds8900f:89.44.25.0:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve7.5

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакивысокая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

Классы CWE

CWE-267 ↗

Источники и ссылки

Исправление · www.ibm.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-10-28T15:04:10.519323+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T12:27:14.202378+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T12:27:14.202378+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T12:27:14.202378+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-10-28T15:04:10.519323+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T12:27:14.202378+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены28.10.2026, 18:04
Появились сведения об исправлении28.10.2026, 15:27

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА	Карточка
CVE-2025-36192 Missing Authorization with the DS8900F and DS8A00 Hardware Management Console IBM / DS8A00( R10.1) · IBM / DS8A00 ( R10.0)	Средний	6.7	0,12 %	Патч	26.12.2025