Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-290

CVE-2026-19121

IBM API Connect'te yetkisiz tenant kaynaklarına erişime yol açan yetkilendirme hatası

IBM API Connect

Yüksek 8,3 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, bir müşterinin diğer müşterilerin verilerine erişmesine olanak tanıyabilecek ciddi bir güvenlik riskidir. Ürünün paylaşımlı kullanılan ortamlarında veri gizliliği ve güven açısından acil önlem gerektirmektedir. Üretici sürümü yayınladığı için güncellemenin hızlı biçimde yapılması önerilir.

ÖzetTürkçe

IBM API Connect ürününün 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerinde, kimliği doğrulanmış bir saldırganın yetkisiz erişim elde edebildiği bir yetkilendirme açığı bulunmaktadır. Sistem, tenant bağlamını kimliği doğrulanmış kullanıcıyla yeterince doğrulamadığı için bir kullanıcı başka bir tenant'a ait kaynaklara erişebilmektedir. Bu durum, çok kiracılı (multi-tenant) yapı kullanan kuruluşları etkilemektedir.

Saldırgan ne yapabilir?

Saldırgan, yetkili olduğu kendi tenant'ı dışındaki tenant'ların kaynaklarını okuyabilir veya değiştirebilir. Sonuç olarak diğer kiracıların verileri ve yapılandırmaları üzerinde yetkisiz erişim sağlanabilir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 12.1.0.0 through 12.1.1.2 could allow an authenticated attacker to gain unauthorized access due to improper authorization. Tenant context is not sufficiently verified against the authenticated user, which could allow access to another tenant's resources.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

Ne yapmalı?

  1. IBM API Connect'i 12.1.1.3 veya üzeri sürüme yükseltin. Üretici, sorunun hemen giderilmesini güçlü biçimde önermektedir; güncelleme paketine IBM'in destek sayfasından ulaşılabilir. Üretici
  2. Güncelleme öncesinde tenant erişim kayıtlarını ve yetkilendirme günlüklerini inceleyerek başka tenant kaynaklarına yetkisiz erişim olup olmadığını kontrol edin. Genel öneri
  3. Güncelleme uygulanana kadar kimlik bilgisi dağıtımını sınırlayın ve yeni kullanıcı veya API anahtarı oluşturma yetkilerini yalnızca güvenilir yöneticilerle kısıtlayın. Genel öneri

Ek önlemler

  • Tenant'lar arası erişim girişimlerini izlemek için oturum ve yetkilendirme olaylarını merkezi bir günlük sistemine aktarın ve anormal erişim desenlerinde uyarı tanımlayın. Genel öneri
  • En az ayrıcalık ilkesini uygulayarak kullanıcılara yalnızca ihtiyaç duydukları tenant ve API kaynaklarına erişim yetkisi verin. Genel öneri
  • Yetkili kullanıcı hesaplarının periyodik olarak gözden geçirilmesini ve kullanılmayan hesapların devre dışı bırakılmasını sağlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.