CVE-2026-84418
Beschrijving NL
IBM DataStage on Cloud Pak for Data 5.4.0.0 kan een man-in-the-middle-aanvaller in staat stellen om een vervalst TLS-certificaat te presenteren, de verbinding te onderscheppen en de IAM-dragerautorisatieheader vast te leggen die automatisch door de sessieadapter is gekoppeld. Het vastgelegde token biedt volledige API-toegang voor de tenant van het platform, waardoor de aanvaller de DataStage-projecten, -stromen, -activa en -pijplijndefinities van het slachtoffer kan lezen en manipuleren. Dit is SDK-code aan de clientzijde die op de eigen machine van de gebruiker wordt uitgevoerd, dus voor exploitatie is een externe netwerkinterceptor vereist in plaats van een medehuurder in het gedeelde cluster.
Origineel (Engels) tonen
IBM DataStage on Cloud Pak for Data 5.4.0.0 can allow a man-in-the-middle attacker to present a forged TLS certificate, intercept the connection, and capture the IAM bearer Authorization header automatically attached by the session adapter. The captured token grants full platform-scope tenant API access, enabling the attacker to read and manipulate the victim's DataStage projects, flows, assets, and pipeline definitions. This is client-side SDK code running on the user's own machine, so exploitation requires an external network interceptor rather than a co-tenant in the shared cluster.