IBM ha divulgado una vulnerabilidad de deserialización Java sin restricciones (CWE-502) en las MQ Classes for Java de IBM MQ Operator y las imágenes de contenedor de MQ Advanced. Un atacante remoto autenticado, con privilegios bajos y acceso de red al servicio MQ, podría provocar una denegación de servicio o ejecutar código arbitrario en el contexto de seguridad del workload afectado, comprometiendo la confidencialidad, integridad y disponibilidad de los servicios de mensajería.
CVE y severidad
- CVE-2026-12148 — Severidad: Alta. CVSS v3.1 base 7.5 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H). CWE-502 (Deserialización de datos no confiables). No se conoce explotación activa en el momento de la publicación.
Productos afectados
| Fabricante | Producto | Componente | Versiones afectadas |
|---|---|---|---|
| IBM | IBM MQ Operator | MQ Classes for Java | 2.0.0 ≤ 2.0.29; 3.2.0 ≤ 3.2.29; 3.3.0 < 3.4.0; 3.4.1; 3.5.0; 3.5.1 ≤ 3.5.3; 3.6.0 ≤ 3.6.4; 3.7.0 ≤ 3.7.2; 3.8.0; 3.8.1; 3.9.0; 3.9.1; 3.9.2; 4.0.0–4.0.4 |
| IBM | MQ Advanced (imágenes de contenedor) | MQ Classes for Java | 9.3.x LTS (9.3.0.0-r1 a 9.3.0.25-r1); 9.4.x CD (9.4.0.0-r1 a 9.4.5.1-r1); 10.0.0.0-r1 – 10.0.0.0-r4; 10.0.0.5-r1 |
Solución
Actualice a las versiones corregidas publicadas por IBM conforme a su aviso de seguridad, coordinando la compatibilidad entre el operador y las imágenes del gestor de colas.
Recomendaciones
Inventarie los despliegues de IBM MQ Operator e imágenes de contenedor en Kubernetes/OpenShift y verifique su exposición contra el aviso de IBM. Restrinja el acceso a los endpoints de MQ a redes de confianza, minimice los permisos de service accounts y pods, fije los digests de imágenes aprobadas y supervise los registros de MQ/JVM en busca de errores de deserialización, reinicios del gestor de colas o conexiones autenticadas desde orígenes inusuales.