CVE-2025-13855：IBM Storage Protect Server SQL注入漏洞

CVE-2025-13855 影响 IBM Storage Protect Server (以及 Storage Protect Plus Server) 8.2.0 版本，引入了 SQL 注入漏洞。远程攻击者可以发送精心构造的 SQL 语句，从而可能查看、添加、修改或删除后端数据库中的信息。CVSS 严重程度评分为 7.6，表明风险较高。此漏洞可能导致敏感数据泄露、数据完整性操纵，甚至系统被破坏，具体取决于 Storage Protect 服务器运行的数据库用户的权限。目前缺乏补丁加剧了这一情况，需要仔细评估风险并实施替代缓解措施。

Organizations utilizing IBM Storage Protect Server version 8.2.0 are at direct risk. Specifically, environments with limited network segmentation or those lacking robust WAF protection are more vulnerable. Any organization relying on the Storage Protect Server for critical data backup and recovery is potentially at risk, as a successful attack could compromise their data protection posture.

• linux / server:

journalctl -u ibmssp | grep -i "SQL injection"

• generic web:

curl -I <storage_protect_server_url> | grep -i "SQL injection"

1. 2026-04-01Disclosure

   disclosure

1. 已保留2025-12-01
2. 发布日期2026-04-01
3. EPSS 更新日期2026-04-08

由于 IBM 尚未为 CVE-2025-13855 提供官方补丁，组织应实施替代缓解措施以降低风险。这些措施可能包括网络分段以限制对 Storage Protect 服务器的访问、应用限制性防火墙规则以阻止可疑流量，以及持续监控服务器日志以查找异常活动。强烈建议审查 Storage Protect 服务器的配置，以确保应用最小权限原则并实施强大的访问控制。一旦 IBM 发布补丁，应考虑升级到软件的较新版本。在获得官方解决方案之前，持续风险评估至关重要。