IBM corrige trece fallas en Guardium Data Protection; la más grave permite ejecutar código sin autenticación

IBM publicó el 8 de octubre un boletín de seguridad que corrige once fallas en el componente Sniffer de Guardium Data Protection, y la más grave, CVE-2026-75875, permite que un atacante remoto ejecute código sin usuario ni contraseña. IBM no ofrece ninguna mitigación más allá del parche: el boletín no propone soluciones alternativas ni medidas temporales. Ese mismo día, un segundo boletín cerró otras dos fallas en el componente Windows S-TAP del mismo producto.

Guardium Data Protection es la plataforma de IBM para monitorear, auditar y proteger los datos guardados en bases de datos, según la describe Halo Security. Varias de las fallas están justamente en el código que interpreta el tráfico de esas bases de datos.

Qué es la falla: mensajes armados para engañar al vigilante

En términos simples, algunas piezas de Guardium leen e interpretan los mensajes que circulan hacia bases de datos como MongoDB y Microsoft SQL Server. Si alguien les envía un mensaje manipulado, puede colar órdenes en la base de datos o corromper la memoria del equipo hasta tomar el control o dejarlo fuera de servicio.

La capa técnica empieza por las dos fallas que IBM califica con 9.8 sobre 10 en el sistema común de puntuación de vulnerabilidades (CVSS). CVE-2026-75875 es un path traversalVulnerabilidad que permite leer o escribir archivos fuera de la carpeta autorizada de un sistema manipulando las rutas de archivo que recibe, por ejemplo con secuencias que suben de directorio. que, según IBM, permite ejecutar código arbitrario. CVE-2026-80381 es una inyección SQLVulnerabilidad que permite a un atacante colar instrucciones propias en las consultas que una aplicación envía a su base de datos, para ver, cambiar o borrar información sin autorización. que permite ejecutar instrucciones no autorizadas en la base de datos. En las dos, el ataque llega por la red, es de baja complejidad y no exige privilegios ni que alguien haga clic en nada. Una tercera, CVE-2026-81932, también es una inyección SQL sin autenticación, con 8.6: según IBM, el atacante podría ver, agregar, modificar o borrar información de la base de datos interna.

Las otras ocho son fallas de manejo de memoria, la mayoría variantes de desbordamiento de búferFalla que ocurre cuando un programa recibe más datos de los que caben en un espacio de memoria reservado y pisa la memoria vecina, lo que puede bloquearlo o permitir ejecutar código ajeno., algunas en los decodificadores de MongoDB y de TDS, el protocolo de Microsoft SQL Server. IBM les asigna entre 5.9 y 8.1 porque considera que explotarlas es más complejo. En siete de ellas advierte que podrían permitir ejecutar código.

Una de esas ocho tiene dos notas. CVE-2026-82335, la del decodificador de MongoDB, recibe 8.1 de IBM y 9.8 de la Base de Datos Nacional de Vulnerabilidades de Estados Unidos (NVD). La diferencia está en un solo factor: IBM considera que el ataque es de alta complejidad y NVD, que es de baja. En lo demás coinciden: por red, sin credenciales y sin intervención del usuario.

El boletín de Windows S-TAP repite el desacuerdo. IBM califica con 8.1 a CVE-2026-82344, un desbordamiento al rearmar los mensajes de inicio de sesión de TDS que puede explotarse sin autenticación, y a CVE-2026-82334, una lectura fuera de los límites de memoria en el decodificador de esos mensajes. NVD les da 9.8 y 9.1.

A quién afecta

El boletín del Sniffer alcanza a las versiones 12.0, 12.1 y 12.2 de Guardium Data Protection en Linux. El de Windows S-TAP cubre las mismas tres versiones, aunque la descripción de CVE-2026-82344 en NVD menciona solo la 12.0 y la 12.1. IBM aclara que sus boletines enumeran únicamente versiones con soporte vigente, y que no nombrar una versión sin soporte no significa que esté a salvo.

Estado de explotación

Al 8 de octubre, sin explotación conocida. IBM no menciona ataques en ninguno de los dos boletines. Según el análisis de OpenCVE, CVE-2026-75875 no figura en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) y no hay reportes tempranos de explotación. Ese dato corresponde solo a esa falla.

Sobre la exposición, Halo Security estima que Guardium suele instalarse dentro de las redes corporativas, detrás de cortafuegos, y no de cara a internet; en su escala le asigna 2 sobre 5 en probabilidad de estar expuesto. La firma advierte que eso baja el riesgo práctico para muchas instalaciones, pero que sigue siendo un problema crítico dentro de la red.

Qué hacer

La única defensa que propone IBM es instalar los parches cuanto antes. El primer paso es ubicar todas las instalaciones de Guardium Data Protection 12.0, 12.1 y 12.2 y revisar qué componentes usan. Para el Sniffer en Linux, el parche es SqlGuard_12.0p4018_SnifferUpdate; para Windows S-TAP, Guardium_12.x.p101_r120203346_S-TAP_Windows. Los dos se descargan desde Fix Central, el portal de IBM, con los enlaces de los boletines del Sniffer y de Windows S-TAP.

Mientras se planifica la instalación, OpenCVE recomienda que el proceso del Sniffer corra con los permisos mínimos sobre el sistema de archivos y revisar los registros de Guardium en busca de accesos a archivos no autorizados o procesos inesperados. Halo Security sugiere verificar desde qué partes de la red se puede llegar a cada instalación y atender primero las más expuestas. Ninguna de esas medidas reemplaza el parche, y el propio boletín de IBM no deja otra salida.

Ficha técnica

• CVE-2026-75875: path traversal (CWE-22), ejecución remota de código. CVSS 9.8 según IBM, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-80381: inyección SQL (CWE-89). CVSS 9.8 según IBM, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-81932: inyección SQL sin autenticación (CWE-89). CVSS 8.6 según IBM, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L.
• CVE-2026-82335: desbordamiento en el decodificador de MongoDB (CWE-119; NVD suma CWE-787). CVSS 8.1 según IBM, vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H; 9.8 según NVD, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-84058: desbordamiento en el decodificador de paquetes PRELOGIN de TDS (CWE-119). CVSS 8.1 según IBM, vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-84035: desbordamiento en la pila (CWE-121). CVSS 8.1 según IBM, vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-84198, CVE-2026-84246 y CVE-2026-82895: desbordamiento de búfer clásico (CWE-120). CVSS 8.1 según IBM, vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-84875: desbordamiento de búfer (CWE-119). CVSS 7.5 según IBM, vector CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-84424: falla de memoria (CWE-119), sin descripción publicada por IBM. CVSS 5.9 según IBM, vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H.
• CVE-2026-82344 (Windows S-TAP): desbordamiento al rearmar el inicio de sesión TDS (CWE-119; NVD suma CWE-787). CVSS 8.1 según IBM, vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H; 9.8 según NVD, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-82334 (Windows S-TAP): lectura fuera de límites en el decodificador TDS7 LOGIN7 (CWE-125). CVSS 8.1 según IBM, vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H; 9.1 según NVD, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H.
• Versiones afectadas: Guardium Data Protection 12.0, 12.1 y 12.2 (Sniffer en Linux y Windows S-TAP).
• Corrección: SqlGuard_12.0p4018_SnifferUpdate para el Sniffer y Guardium_12.x.p101_r120203346_S-TAP_Windows para Windows S-TAP.
• Avisos del fabricante: boletines de IBM del 8 de octubre de 2026 para el Sniffer y para Windows S-TAP.
• Catálogo KEV: CVE-2026-75875 no figura, según OpenCVE.