Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-90

CVE-2026-17392

IBM API Connect'te LDAP enjeksiyonu: tenant'lar arası yetkisiz yönetici erişimi

IBM API Connect

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, bir müşterinin diğer müşterilerin sistemlerine yönetici yetkisiyle erişmesine olanak tanıyabilir. Çoklu kiracılı bir platformda bu, veri gizliliği ve güven kaybı gibi ciddi iş riskleri doğurur. Kritik seviyede olduğu için güncelleme yapılması acildir.

ÖzetTürkçe

IBM API Connect ürününün 10.0.8.0 ile 10.0.8.12 arasındaki ve 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerinde LDAP enjeksiyonu açığı bulunmaktadır. Kullanıcı girdisi dizin sorgularında gerektiği gibi temizlenmediği için sorgu değiştirilebilmektedir. Etkilenen sistemler, birden fazla tenant (kiracı) barındıran API Connect kurulumlarıdır.

Saldırgan ne yapabilir?

Kimliği doğrulanmış bir saldırgan, kendi tenant'ının sınırlarını aşarak diğer tenant'larda yetkisiz yönetici erişimi elde edebilir. Bu durum, diğer kiracıların yapılandırmalarının ve API'lerinin ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to gain unauthorized administrative access to other tenants due to LDAP injection. User-supplied input is not properly neutralized in directory queries, which could change the query and grant access beyond the user's own tenant.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

IBM strongly recommends addressing the vulnerability now by upgrading to 10.0.8.13Fix Central Link: https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%7EWebSphere&product=ibm/WebSphere/IBM+API+Connect&release=10.0.8.12&platform=All&function=all

Ne yapmalı?

  1. IBM'in önerisine göre, etkilenen sürümü 12.1.x dalında 12.1.1.3 sürümüne, 10.0.8.x dalında ise 10.0.8.13 sürümüne yükseltin. Güncelleme dosyalarını IBM'in destek sayfası ve Fix Central üzerinden temin edin. Üretici
  2. Güncelleme öncesinde mevcut yapılandırmanızı ve sistem yedeğinizi alın. Genel öneri
  3. Güncelleme tamamlanana kadar tenant'lar arasındaki yönetici erişimlerini gözden geçirin ve gereksiz hesapları geçici olarak devre dışı bırakın. Genel öneri

Ek önlemler

  • Yönetici ve tenant hesaplarının erişim loglarını düzenli olarak izleyin ve olağan dışı yetki değişikliklerini araştırın. Genel öneri
  • En az ayrıcalık ilkesini uygulayarak kullanıcılara yalnızca ihtiyaç duydukları tenant yetkilerini verin. Genel öneri
  • Dizin (LDAP) entegrasyonlarında kullanıcı girdilerinin filtrelenmesini ve kısıtlı sorgu yetkilerinin kullanılmasını sağlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –
≥ 10.0.8.0, ≤ 10.0.8.12 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.