- Yama var
- Son 7 gün
- CWE-611
CVE-2026-13289
IBM MQ Managed File Transfer XML harici varlık enjeksiyonu (XXE) açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- ibm
Yönetici özeti
Bu açık, kurumsal dosya transfer altyapınızdaki hassas verilerin sızmasına ve hizmet kesintisine yol açabilir. Etkilenen sistemlerin kimlik doğrulaması gerektirmeden saldırıya açık olması nedeniyle güncellemelerin öncelikli olarak yapılması önerilir.
ÖzetTürkçe
IBM MQ Managed File Transfer bileşeni, XML verisi işlenirken XML harici varlık enjeksiyonu (XXE) açığı içermektedir. Etkilenen sürümler arasında 9.2, 9.3, 9.4 LTS/CD ve 10.0 LTS/CD dalları yer almaktadır. Uzaktan bir saldırgan bu açığı kullanarak hassas bilgilere erişebilir veya bellek kaynaklarını tüketebilir.
Saldırgan ne yapabilir?
Saldırgan, XML işleme sırasında harici varlıkları kullanarak sunucudaki hassas bilgileri okuyabilir veya bellek tüketimine yol açarak hizmetin aksamasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
IBM MQ 9.2.0.0 through 9.2.0.44 LTS, 9.3.0.0 through 9.3.0.42 LTS, 9.4.0.0 through 9.4.0.26 LTS, 9.4.0.0 through 9.4.5.1 CD, and 10.0.0.0 through 10.0.0.5 LTS and CD is vulnerable to an XML external entity injection (XXE) attack when processing XML data. A remote attacker could exploit this vulnerability to expose sensitive information or consume memory resources.
Üreticinin çözüm notu (İngilizce)
This issue was addressed under Known Issue DT474700.
IBM MQ version 9.2 LTS
Apply cumulative security update 9.2.0.46 https://www.ibm.com/support/pages/downloading-ibm-mq-92-lts
IBM MQ version 9.3 LTS
Apply cumulative security update 9.3.0.43 https://www.ibm.com/support/pages/downloading-ibm-mq-93-lts
IBM MQ version 9.4 LTS
Apply fix pack 9.4.0.30 https://www.ibm.com/support/pages/downloading-ibm-mq-94
IBM MQ version 10.0.LTS
Upgrade to IBM MQ version 10.0.0.6 https://www.ibm.com/support/pages/downloading-ibm-mq-100
IBM MQ version 9.4 CD and 10.0 CD
Upgrade to IBM MQ version 10.0.1.0 https://www.ibm.com/support/pages/downloading-ibm-mq-100
Ne yapmalı?
- Kullandığınız dala uygun resmi güvenlik güncellemesini uygulayın: IBM MQ 9.2 LTS için 9.2.0.46, 9.3 LTS için 9.3.0.43, 9.4 LTS için 9.4.0.30 fix pack, 10.0 LTS için 10.0.0.6, 9.4 CD ve 10.0 CD kullanıcıları için ise 10.0.1.0 sürümüne yükseltin. Üretici
- Güncelleme öncesinde IBM'in Known Issue DT474700 kaydındaki bilgileri inceleyin ve IBM destek sayfalarından ilgili sürümü indirin. Üretici
- Güncelleme yapılamıyorsa, Managed File Transfer bileşeninin dış kaynaklardan gelen XML verilerini işlemesini mümkün olduğunca kısıtlayın ve bu bileşene erişimi yalnızca güvenilir ağlarla sınırlandırın. Genel öneri
Ek önlemler
- Sistem kayıtlarını ve ağ trafiğini, olağandışı XML isteklerine ve beklenmedik bellek kullanım artışlarına karşı izleyin. Genel öneri
- Güvenlik duvarı kurallarıyla MQ yönetim ve dosya transfer uç noktalarına erişimi yalnızca gerekli istemcilere açın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| IBM MQ | ≥ 9.2.0.0, ≤ 9.2.0.44 | – |
| ≥ 9.3.0.0, ≤ 9.3.0.42 | – | |
| ≥ 9.4.0.0, ≤ 9.4.0.26 | – | |
| ≥ 9.4.0.0, ≤ 9.4.5.1 | – | |
| ≥ 10.0.0.0, ≤ 10.0.0.5 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.