Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-601

CVE-2026-17291

IBM API Connect'te açık yönlendirme (open redirect) zafiyeti: hesap ele geçirme riski

IBM API Connect

Yüksek 8,7 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu zafiyet, IBM API Connect kullanan kuruluşların kullanıcı hesaplarının ele geçirilmesine yol açabilir. Hesap ele geçirme, veri sızıntısı ve yetkisiz işlem riskleri taşıdığı için öncelikli olarak ele alınmalıdır. Etkilenen sürümlerin hızlı şekilde güncellenmesi önerilir.

ÖzetTürkçe

IBM API Connect ürününün 10.0.8.0 - 10.0.8.12 ve 12.1.0.0 - 12.1.1.2 sürümlerinde, OAuth 2.0 oturum açma sırasında kullanılan yönlendirme adresinin yeterince doğrulanmaması nedeniyle açık yönlendirme zafiyeti bulunmaktadır. Zafiyet, kimliği doğrulanmış uzak bir saldırganın hesap ele geçirmesine yol açabilir. Sorun, oturum açma sonuçlarının saldırganın kontrolündeki bir adrese gönderilmesine imkan verebilir.

Saldırgan ne yapabilir?

Saldırgan, kullanıcıların oturum açma sonuçlarını kendi kontrolündeki bir adrese yönlendirerek hesapları üzerinde yetki elde edebilir ve hesap ele geçirme gerçekleştirebilir. Gizlilik ve bütünlük üzerinde yüksek etki beklenir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to perform account takeover due to an open redirect vulnerability. The redirect address used during OAuth 2.0 sign-in is not sufficiently validated, which could allow authentication results to be sent to an attacker-controlled location.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

IBM strongly recommends addressing the vulnerability now by upgrading to 10.0.8.13Fix Central Link: https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%7EWebSphere&product=ibm/WebSphere/IBM+API+Connect&release=10.0.8.12&platform=All&function=all

Ne yapmalı?

  1. IBM'in önerisine göre, 12.1.x dalında kullanılan sistemleri v12.1.1.3 sürümüne yükseltin. Üretici
  2. 10.0.8.x dalında kullanılan sistemleri 10.0.8.13 sürümüne yükseltin. Üretici
  3. Yükseltme yapılana kadar OAuth 2.0 oturum açma akışlarını gözden geçirin ve yönlendirme adreslerini yalnızca güvenilir alanlarla sınırlandırmayı değerlendirin. Genel öneri
  4. Yükseltme sonrasında sürüm bilginizi doğrulayın ve oturum açma akışlarının beklendiği gibi çalıştığını test edin. Genel öneri

Ek önlemler

  • Oturum açma sırasındaki beklenmeyen dış yönlendirmeleri ve olağandışı kimlik doğrulama trafiğini izleyin. Genel öneri
  • Kullanıcılara, şüpheli oturum açma ekranlarına veya beklenmedik yönlendirmelere karşı dikkatli olmalarını hatırlatın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –
≥ 10.0.8.0, ≤ 10.0.8.12 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.