JVNDB-2026-022207

IBMのIBM WebSphere eXtreme Scaleにおけるクラスまたはコードを選択する外部から制御された入力の使用に関する脆弱性

IBM WebSphere Extreme Scale 8.6.1.0 から 8.6.1.6 にかけての Object Query Language エンジンは、攻撃者が提供したクラス名を Class.forName() を使用して解決し、許可リストなしで 3 つの異なるシンク（SELECT NEW、列挙リテラル、およびリフレクションベースのコンパレータ）でそれらのコンストラクタを呼び出します。認証されたリモート攻撃者がアプリケーションによって構築された OQL クエリ文字列に影響を与えられる場合、WAS JVM 上で任意のコンストラクタを実行することが可能です。また、植え付けられたグリッド値を使用する SELECT DISTINCT バリアントは、グリッドノード間の JEP-290 シリアライズフィルタを回避し、同じガジェットを readObject 実行後に発火させます。

IBM

• IBM WebSphere eXtreme Scale 8.6.1.0 から 8.6.1.6

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

IBM

• IBM Security Bulletin : Security Bulletin: IBM WebSphere eXtreme Scale's OQL is affected by remote code execution

1. クラスまたはコードを選択する外部から制御された入力の使用(CWE-470) [その他]
2. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-13772

1. National Vulnerability Database (NVD) : CVE-2026-13772

• [2026年07月06日]
    掲載