Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-73

CVE-2026-17331

IBM API Connect'te dosya yolu manipülasyonu ile yetkisiz dosya okuma açığı

IBM API Connect

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, API yönetim altyapınızdaki gizli bilgilerin dış bir saldırgan tarafından okunmasına yol açabilir. Etkilenen sürüm kullanılıyorsa güncelleme kritik öneme sahiptir ve gecikmeden yapılmalıdır. Güncelleme sonrasına kadar sistemin dış erişime açık durumunun gözden geçirilmesi önerilir.

ÖzetTürkçe

IBM API Connect ürününün 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerinde, dosya adı veya yolunun dışarıdan kontrol edilebilmesinden kaynaklanan bir zafiyet bulunmaktadır. Bu durum, uzaktan bir saldırganın sunucudaki keyfi dosyaları okumasına olanak tanıyabilir. Etkilenen sürümlerde API Connect kullanan tüm kurumlar risk altındadır.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan sunucudaki hassas dosyaları okuyabilir; bu dosyalar yapılandırma bilgileri veya kimlik bilgilerini içerebilir. Veri bütünlüğü ve erişilebilirlik üzerinde doğrudan etkisi bildirilmemiştir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to read arbitrary files on the server due to external control of a file name or path.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

Ne yapmalı?

  1. IBM'in önerdiği şekilde API Connect'i 12.1.1.3 sürümüne yükseltin. Güncelleme için IBM Fix Central bağlantısı resmi IBM destek sayfasında yer almaktadır. Üretici
  2. Güncelleme tamamlanana kadar API Connect yönetim ve gateway bileşenlerine erişimi güvenilir ağlarla sınırlandırın. Genel öneri
  3. Sistemde yetkisiz dosya erişimine işaret eden sıradışı istek veya erişim kayıtlarını inceleyin. Genel öneri

Ek önlemler

  • API Connect sunucularını internete doğrudan açmak yerine ters vekil sunucu veya güvenlik duvarı arkasında çalıştırın. Genel öneri
  • Sunucuda saklanan kimlik bilgilerini ve gizli anahtarları düzenli olarak döndürün, özellikle açık etkisi olabilecek bir dönemden sonra. Genel öneri
  • Dosya sistemi izinlerini en az ayrıcalık ilkesine göre düzenleyerek servis hesabının erişebildiği dizinleri sınırlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.