Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-287

CVE-2026-16720

IBM API Connect'te kimlik doğrulama hatası: başka kullanıcının erişim belirteci elde edilebilir

IBM API Connect

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, şirketin API altyapısına dışarıdan, kimlik bilgisi gerektirmeden erişilmesine imkân verebilir ve bu da veri sızıntısı ve yetkisiz değişiklik riskini doğurur. Risk kritik seviyededir ve etkilenen sürümler mümkün olan en kısa sürede güncellenmelidir.

ÖzetTürkçe

IBM API Connect'in 10.0.8.0–10.0.8.12 ve 12.1.0.0–12.1.1.2 sürümlerinde, bağlı dizin servisine karşı kimlik doğrulama yeterince zorunlu tutulmuyor. Uzaktan bir saldırgan bu hata sayesinde başka kullanıcılar için geçerli erişim belirteçleri elde edebilir ve o kullanıcının kimliğine bürünebilir. Hata CWE-287 (uygun olmayan kimlik doğrulama) sınıfındadır ve CVSS skoru 9.8 ile kritik seviyededir.

Saldırgan ne yapabilir?

Saldırgan başka kullanıcıların yetkilerini kullanarak API yönetim sistemine erişebilir, verileri okuyabilir veya değiştirebilir. Sistemin gizlilik, bütünlük ve erişilebilirliği ciddi biçimde tehlikeye girebilir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote attacker to obtain valid access tokens for other users due to improper authentication. Authentication against a connected directory service is not sufficiently enforced, which could allow another user's identity to be assumed.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

IBM strongly recommends addressing the vulnerability now by upgrading to 10.0.8.13Fix Central Link: https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%7EWebSphere&product=ibm/WebSphere/IBM+API+Connect&release=10.0.8.12&platform=All&function=all

Ne yapmalı?

  1. Sistemi, etkilenen sürüme göre 12.1.x serisinde 12.1.1.3 sürümüne veya 10.0.8.x serisinde 10.0.8.13 sürümüne yükseltin. Güncelleme için IBM'in resmi destek sayfasını ve Fix Central üzerindeki düzeltme paketlerini kullanın. Üretici
  2. Güncelleme öncesinde, bağlı dizin servisine yönelik kimlik doğrulama ve erişim belirteci kayıtlarını inceleyerek alışılmadık oturum veya kimlik değişikliklerini kontrol edin. Genel öneri

Ek önlemler

  • API Connect yönetim ve geçit bileşenlerini internete doğrudan açık bırakmayın; erişimi ağ düzeyinde kısıtlayın. Genel öneri
  • Erişim belirteçlerinin süresini mümkün olduğunca kısa tutun ve şüpheli kullanım için günlük izleme yapın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –
≥ 10.0.8.0, ≤ 10.0.8.12 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.