- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- ibm
Yönetici özeti
Bu açık, API altyapınızdaki verilerin ele geçirilmesine veya bozulmasına yol açabilecek kritik bir risk taşımaktadır. Saldırganın yalnızca geçerli bir hesaba sahip olması yeterlidir. Etkilenen sürümler kullanılıyorsa güncelleme acil olarak planlanmalıdır.
ÖzetTürkçe
IBM API Connect ürününün 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerinde, SQL komutlarında özel karakterlerin yeterince etkisiz hale getirilmemesi nedeniyle SQL enjeksiyonu açığı bulunmaktadır. Açık, kimlik doğrulaması yapılmış uzak bir saldırganın keyfi SQL komutları çalıştırmasına olanak tanıyabilir. Etkilenen sistemler, bu sürüm aralığındaki API Connect kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, kimliğini doğruladıktan sonra veritabanında okuma, değiştirme ve silme işlemleri gerçekleştirebilir. CVSS puanı 9.9 olup, sistemin gizliliği, bütünlüğü ve erişilebilirliği ciddi biçimde tehlikeye girebilir.
Kaynaktaki açıklama (İngilizce)
IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to execute arbitrary SQL commands due to improper neutralization of special elements used in an SQL command.
Üreticinin çözüm notu (İngilizce)
IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205
Ne yapmalı?
- IBM'in önerisine göre, etkilenen sistemleri 12.1.1.3 sürümüne yükseltin. Üretici
- Yükseltme yapılana kadar, API Connect yönetim ve API uç noktalarına erişimi yalnızca güvenilir kullanıcı ve ağlarla sınırlandırın. Genel öneri
- Kimlik doğrulaması yapılmış hesapların sayısını gözden geçirin ve kullanılmayan veya gereksiz hesapları devre dışı bırakın. Genel öneri
Ek önlemler
- Veritabanı ve uygulama günlüklerinde olağandışı SQL hata mesajları veya beklenmedik sorgu desenlerini izleyin. Genel öneri
- Uygulama katmanında girdi doğrulaması ve parametreli sorgu kullanımının yapılıp yapılmadığını ilgili ekiplerle doğrulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| IBM API Connect | ≥ 12.1.0.0, ≤ 12.1.1.2 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.