- Yama var
- Son 7 gün
- CWE-22
CVE-2026-17354
IBM API Connect'te yol geçişi (path traversal) zafiyeti ile keyfi dosya yazma
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- ibm
Yönetici özeti
Bu zafiyet, API altyapınızın kontrolünün ele geçirilmesine yol açabilecek kritik bir risk taşımaktadır. Etkilenen sistemler dış bağlantılara ve iş süreçlerine doğrudan bağlı olabileceğinden, güncellemenin hemen planlanması önerilir.
ÖzetTürkçe
IBM API Connect'in 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerinde, dosya yolu doğrulamasındaki bir hata (yol geçişi, CWE-22) nedeniyle kimlik doğrulaması yapılmış uzak bir saldırganın keyfi dosya yazabildiği bildirilmiştir. Zafiyet, bu sürüm aralığındaki tüm kurulumları etkilemektedir. Saldırının gerçekleştirilebilmesi için saldırganın geçerli bir hesaba sahip olması gerekir.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapılmış bir saldırgan, sunucuda dosya yazarak sistemin yapılandırmasını değiştirebilir veya uzaktan kod çalıştırmaya zemin hazırlayabilir. Bu da gizli verilerin ele geçirilmesine ve hizmetin tamamen kesintiye uğramasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to perform arbitrary file writes due to path traversal.
Üreticinin çözüm notu (İngilizce)
IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205
Ne yapmalı?
- IBM API Connect'i 12.1.1.3 veya üzeri bir sürüme yükseltin. IBM bu güncellemeyi acilen uygulanmasını önermektedir. Üretici
- Güncelleme öncesinde, sürüm aralığındaki kurulumların listesini çıkarın ve yönetici hesaplarını gözden geçirerek gereksiz hesapları devre dışı bırakın. Genel öneri
- Güncelleme tamamlanana kadar sisteme erişimi yalnızca güvenilir kullanıcılarla ve ağ tarafında kısıtlanmış kaynaklarla sınırlandırın. Genel öneri
Ek önlemler
- Dosya sistemi üzerinde beklenmeyen yazma işlemlerini ve yeni oluşturulan dosyaları izleyen loglama ve uyarı mekanizmaları kurun. Genel öneri
- Kimlik doğrulama kayıtlarını düzenli olarak inceleyerek olağandışı hesap etkinliklerini tespit edin. Genel öneri
- API yönetim platformuna erişen hesaplar için en az yetki ilkesini uygulayın ve güçlü kimlik doğrulama kullanın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| IBM API Connect | ≥ 12.1.0.0, ≤ 12.1.1.2 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.