(9.9分) CVE-2026-96012：IBM Db2 Mirror提权漏洞

红队安全圈
红队安全圈

红队安全圈

2026年10月13日 09:39
重庆

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

CVSS 9.9：IBM Db2 Mirror for i 提权漏洞，低权限账户一个特制请求就能拿到系统权限，7.4/7.5/7.6 全中。

01  漏洞速览

漏洞编号CVE-2026-96012

影响产品IBM Db2 Mirror for i（GUI）

影响版本7.4 / 7.5 / 7.6

漏洞类型权限提升（授权绕过+输入校验缺失）

危害等级CVSS 9.9 严重

CVSS 向量AV:N/AC:L/PR:L/UI:N/S:C

是否在野暂无在野利用报告

攻击前提任意有效低权限账户

IBM Db2 Mirror for i 的 GUI 管理组件出了这个洞：认证用户构造恶意请求，绕过额外授权和输入校验，直接在系统上执行任意代码拿到高权限。网络可达、低权限即可触发，官方没有给临时缓解措施，跑 IBM i 双机环境的需要尽快打 PTF。

02  漏洞成因

问题出在 Db2 Mirror for i 的 GUI 管理组件上。这个 GUI 是用来配置和监控 IBM i 平台上双机镜像关系的 Web 界面，本身要以较高权限操作系统资源。根因是两道防线同时失守：

一是授权校验缺失。GUI 的某些接口只验证了用户登录身份，没有再次确认该用户是否有权执行对应的管理操作。攻击者拿到一个普通账户后，直接向这些接口发请求就能越过权限边界。

二是输入校验缺失。接口对请求参数没有做严格过滤和校验，攻击者把恶意代码塞进参数里，服务端处理时会执行。

两个问题叠加的效果是：一个只有低权限的认证用户，构造一个特制请求，就能以系统级权限执行任意代码。CVSS 向量里的 S:C 也印证了这一点——攻击能跨越权限边界影响组件之外的系统层，CIA 三项全部是 H。

03  影响范围

受影响版本：IBM Db2 Mirror for i 7.4、7.5、7.6。

修复用对应版本的 PTF（IBM i Release 5770-DBM）：7.6 装 SJ11625，7.5 装 SJ11624，7.4 装 SJ11623。官方明确表示没有临时缓解措施，唯一修复路径就是打 PTF。

04  利用分析

目前没有公开的利用细节和 PoC，这里基于成因做危害推演。如果我是攻击者，路径大概是这样：

第一步，拿到一个低权限入口。IBM i 环境常见于企业内网，员工账号、弱口令服务账号、其他漏洞打下来的普通 shell，都可能是起点。CVSS 向量是 AV:N/AC:L，网络可达且攻击复杂度低，不需要交互，对内网横向很友好。

第二步，探测 Db2 Mirror GUI。这个管理界面通常挂在特定端口上，扫到登录页就说明目标装了这套组件。

第三步，用有效账户登录 GUI，向存在缺陷的接口发特制请求——利用授权检查被绕过的特性，把恶意代码通过未校验的参数传进去，服务端直接执行。

到手的是系统级权限。IBM i 的数据库镜像组件权限很高，拿到它基本等于拿下了这台主机的数据库层，配合 Db2 Mirror 双机架构，甚至能影响镜像端的同步数据。

另外要注意 GUI 暴露面：如果运维把管理端口映射到了公网或 DMZ，攻击前提就从内网账户进一步放宽，风险直接升级。

05  检测与排查

第一步，确认是否装了受影响版本。在 IBM i 命令行查 Db2 Mirror（5770-DBM）的安装版本，7.4/7.5/7.6 都在范围内。

第二步，确认 PTF 是否已打。检查系统里是否已应用对应版本的 PTF，输出里没有 SJ1162x 系列就说明还没修：

DSPPTF LIC(5770DBM)

第三步，排查暴露面。检查 Db2 Mirror GUI 的监听端口是否只在内网可达，有没有被端口映射、反向代理暴露到外部：

NETSTAT \*CNN

在连接列表里找 GUI 对应的监听端口，确认绑定范围。

06  修复建议

一是按版本打 PTF：7.4 装 SJ11623，7.5 装 SJ11624，7.6 装 SJ11625，从 IBM Fix Central 下载。

二是打完 PTF 后重启相关服务让修复生效，再用 DSPPTF 确认应用成功。

三是打不上补丁的临时思路：严格限制 GUI 的网络访问范围（只允许运维网段访问）、审计低权限账户对 GUI 接口的异常请求、收掉非运维人员的访问账号。官方没有给缓解措施，这些只是过渡手段。

修复验证：用低权限账户重新尝试访问原缺陷接口，应返回授权失败而不是执行成功。

07  红队视角

实战里这个洞的价值点有三个。

提权质量高。内网横向最缺的就是从普通账户到系统权限的跳板，一个 CVSS 9.9、低权限就能打的提权洞，在一个目标环境里往往就是从服务账户权限跳到数据库主机控制权的那一步。

目标环境价值高。跑 Db2 Mirror 双机镜像的都是对数据一致性要求高的核心业务系统（银行、制造、医疗的后端），拿到数据库层权限意味着直接接触核心数据，横向到镜像另一台主机也只是时间问题。

利用门槛低。AC:L + UI:N，不需要用户交互，不需要特殊网络位置，只要有一个认证账户。红队评估里拿到任意一个内网账号后，建议把这个 CVE 加进 IBM i 环境的常规检查清单。

防御侧多说一句：Db2 Mirror GUI 这类管理组件的账户权限往往长期没人管，授权模型一旦有缺陷就是全家桶。建议把管理界面的访问审计接进日志平台，低权限账户触达管理接口的请求直接告警。

08  POC 链接

暂无公开 PoC，官方安全通告（含 PTF 下载入口）见：

https://www.ibm.com/support/pages/node/7290193

如果文章对您有收获，欢迎关注、点赞、推荐、转发。

— END —