CVE-2026-84421 IBM DataStage 路径遍历远程代码执行漏洞
影响远程认证攻击者可执行任意代码
AI 研判
IBM DataStage on Cloud Pak for Data 5.4.0.0 在解压归档文件时未正确校验路径，存在路径遍历（Zip Slip）问题。远程已认证攻击者可借此写入任意文件，进而执行任意代码。该漏洞 CVSS 评分为 8.8，属高危。
影响范围
IBM DataStage
受影响版本为 IBM DataStage on Cloud Pak for Data 5.4.0.0，其他版本是否受影响暂无公开信息。
漏洞详情
漏洞类型为路径遍历（CWE-22），成因是归档解压时未对条目路径中的 ../ 等穿越序列做充分校验。攻击者可构造恶意压缩包，使解压文件被写入预期目录之外的任意位置。结合可写目录中的可执行文件或配置，即可实现远程代码执行。
利用条件与风险
利用需攻击者已通过认证并具备上传或触发解压的能力，实战中多用于已获低权限账号后的提权与横向利用。
修复建议
建议关注 IBM 官方安全公告并升级至修复版本；临时缓解可限制上传与解压功能权限、对解压路径做规范化校验，具体补丁信息暂无公开信息。
原始情报
IBM DataStage on Cloud Pak for Data 5.4.0.0 could allow a remote authenticated attacker to execute arbitrary code due to improper validation of paths during archive extraction.