🟠 CVE-2026-10538: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-10538 betrifft eine kritische Deserialisierungsschwachstelle in der Messaging Consumer Funktionalität von BMC Control-M/Server und Control-M/Enterprise Manager. Die Sicherheitslücke ermöglicht es authentifizierten Angreifern, durch manipulierte serialisierte Objekte unbeabsichtigtes serverseitiges Verhalten auszulösen. Mit einem CVSS-Score von 8.0 wird diese Vulnerability als High-Severity eingestuft.

Betroffene Systeme

Die Schwachstelle betrifft folgende Versionen:

• Control-M/Server 9.0.20.x und frühere Versionen
• Control-M/Enterprise Manager 9.0.20.x und frühere Versionen

Diese Versionen befinden sich im End-of-Support Status. Systeme in Produktivumgebungen mit diesen Versionen sind besonders gefährdet.

Technische Details

Die Schwachstelle basiert auf unsicherer Deserialisierung von benutzerkontrollten Daten. Die Messaging Consumer Funktionalität validiert eingehende serialisierte Objekte nicht ausreichend und beschränkt nicht, welche Objekttypen deserialisiert werden dürfen. Dies ermöglicht es Angreifern, speziell konstruierte Serialisierungsdaten zu senden.

Ein authentifizierter Angreifer kann diese Lücke ausnutzen, um:

• Arbitrary Code Execution zu ermöglichen
• Serverseitige Prozesse zu manipulieren
• Auf sensible Daten zuzugreifen

Der Angriffsvektor ist netzwerkgebunden, erfordert jedoch eine vorherige Authentifizierung.

Empfohlene Massnahmen

• Umgehende Migration auf unterstützte Control-M Versionen durchführen
• Netzwerkzugriff auf betroffene Systeme beschränken
• Authentifizierungsmechanismen verstärken
• Überwachung der Messaging Consumer Aktivitäten implementieren
• Regelmäßige Sicherheitsaudits durchführen

Bewertung

CVSS Score: 8.0 (High)

Patch-Status: Kein Patch verfügbar

Die fehlende Patch-Verfügbarkeit bei gleichzeitig hohem Schweregrad macht eine schnelle Systemaktualisierung zwingend erforderlich.

„`