Модуль Unpacker в составе IBM Watson Speech Services Cartridge разбирает входящие данные и при неудачном вводе читает за границами буфера. Внешний ввод, собранный особым образом, доводит разбор до ошибки, после чего модуль снова и снова обращается к Unpacker. Процесс обработки речи в итоге падает с аварийным завершением. Уязвимость затрагивает установки, которые принимают запросы по сети.
Условия атаки и последствия
Оценка по CVSS 3.1 - 7,5 из 10. Вектор описывает сетевую атаку с низкой сложностью: привилегии не нужны, участие пользователя не требуется. Сильнее всего страдает доступность, тогда как конфиденциальность и целостность не затронуты. Иначе говоря, прочитать чужие записи или подменить их через эту ошибку нельзя.
Чтение за границами буфера (out-of-bounds read) означает, что код обращается за пределы выделенного участка памяти. Обычно такой дефект ограничивается мусорными значениями в переменных. Здесь сбой накапливается: после ошибки Unpacker вызывают повторно, и следующий проход заканчивается обращением к недоступной памяти. SEGV - это аварийное завершение процесса при таком обращении.
Атака не требует присутствия внутри периметра. Достаточно, чтобы сервис принимал извне аудиопоток или другой ввод, который попадает в Unpacker. Unpacker работает в составе речевых сред выполнения, поэтому отказ затрагивает обработку речи целиком, а не отдельную функцию.
Для администратора это уязвимость одного сценария. Сервис остаётся рабочим, пока не придёт подходящий ввод. Ни действий в интерфейсе, ни прав в системе не нужно. Поэтому защита сводится к версии продукта, а не к настройкам доступа.
Отказ в обслуживании бьёт по доступности. Сервис перестаёт отвечать, пока процесс не запустят снова. Транскрибация и голосовые сценарии на это время останавливаются. Целостность записей сохраняется, восстанавливать данные не придётся.
Что даёт обновление
Исправление вошло в 5.4.0 Patch 8. Патч закрывает всю перечисленную линейку - от 4.0.0 до 5.4.0. Отдельной сборки для ветки 4.0.0 IBM не называет, поэтому старые установки закрывает та же сборка. Скачать самую свежую версию 5.4.0 с Patch 8 можно со страницы документации Cloud Pak for Data 5.4.x.
Проверить версию стоит до планового окна обслуживания. IBM сообщает, что уязвимость устранена в этой сборке, и других условий не выдвигает. Обходных мер и мер защиты не предложено, поэтому ограничить ввод на время до установки нечем.
После установки Patch 8 продукт перестаёт попадать в перечень уязвимых сборок. Записи CVE и бюллетень остаются открытыми, но относятся к прежним версиям. Само обновление ставится поверх текущей установки, заново разворачивать картридж не требуется.
Сведений об эксплуатации нет
Публикаций об атаках с использованием CVE-2026-17493 нет. В записи CISA ADP параметр Exploitation имеет значение none: на момент обновления записи признаков реальной эксплуатации не зафиксировали. При этом Automatable указан как yes - собранный запрос можно отправить повторно без ручной работы.
Техническое воздействие в той же записи оценивают как partial. Характер влияния при этом совпадает с бюллетенем: страдает доступность сервиса, данные и конфигурация не меняются.
Хронология такая: бюллетень IBM вышел 22 октября 2026 года, запись CVE опубликована 4 ноября, последнее обновление - 8 ноября. Идентификатор слабости - CWE-125, чтение за границами буфера. Обходных мер нет, поэтому единственный практический шаг для администратора - установка патча.
Ссылки
