Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22

CVE-2026-17335

IBM API Connect'te yol geçişi (path traversal) açığı, uzaktan kod çalıştırmaya yol açabilir

IBM API Connect

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, API altyapınızın kontrolünün ele geçirilmesine yol açabilecek ciddi bir risk taşımaktadır. Kimlik doğrulaması yapılmış bir kullanıcının bile bu açığı kullanabilmesi nedeniyle güvenlik riski yüksektir. Etkilenen sistemlerin hızla güncellenmesi önerilir.

ÖzetTürkçe

IBM API Connect'in 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerinde, yüklenen içerikteki dosya yollarının yeterince doğrulanmaması nedeniyle yol geçişi (CWE-22) açığı bulunmaktadır. Kimliği doğrulanmış bir uzak saldırgan, dosyaları amaçlanan konum dışına yazabilir. Bu durum etkilenen sürümleri kullanan tüm kurulumları ilgilendirir.

Saldırgan ne yapabilir?

Saldırgan, yetkili kullanıcı olarak dosyaları beklenmeyen konumlara yazarak kodunu çalıştırabilir. Bu, sunucu üzerinde tam kontrol ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to execute arbitrary code due to path traversal. File paths in uploaded content are not sufficiently validated, which could allow files to be written outside the intended location and code to be executed.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

Ne yapmalı?

  1. IBM'in önerdiği şekilde, IBM API Connect'i v12.1.1.3 veya sonrası sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar, dosya yükleme yetkisine sahip hesapların sayısını kısıtlayın ve yalnızca güvenilir kullanıcılara bu yetkiyi verin. Genel öneri

Ek önlemler

  • Yüklenen dosyaların beklenmeyen dizinlere yazılıp yazılmadığını izleyin ve sıra dışı dosya oluşturma olaylarını inceleyin. Genel öneri
  • Yönetici ve dosya yükleme hesaplarında en az ayrıcalık ilkesini uygulayın ve kullanılmayan hesapları devre dışı bırakın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.