Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-918

CVE-2026-75590

IBM API Connect'te sunucu taraflı istek sahteciliği (SSRF) açığı

IBM API Connect

Yüksek 7,2 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, kurumun API altyapısının iç ağdaki sistemlere dışarıdan erişim için kötüye kullanılmasına ve gizli bilgilerin sızmasına yol açabilir. Etkilenen sürümlerin kullanıldığı ortamlarda güncelleme önceliği yüksek olmalıdır.

ÖzetTürkçe

IBM API Connect'in 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerinde, sunucu taraflı istek sahteciliği (SSRF) açığı bulunmaktadır. İç adreslere yapılan istekleri engelleyen koruma atlatılabilmektedir. Bu nedenle uzak bir saldırgan, sunucuyu iç ağdaki servislerle iletişime geçirebilir. Etkilenen sistemler, bu sürüm aralığındaki API Connect kurulumlarıdır.

Saldırgan ne yapabilir?

Saldırgan, iç ağdaki kaynaklara erişebilir ve bu servislerin yanıtlarının bir kısmını elde ederek hassas bilgilere ulaşabilir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to access internal network resources and obtain sensitive information due to server-side request forgery. A protection that blocks requests to internal addresses can be bypassed, so the server could be made to contact internal services and return part of their responses.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

Ne yapmalı?

  1. IBM API Connect'i, satıcının önerdiği 12.1.1.3 veya sonraki sürüme yükseltin. Üretici
  2. Yükseltmeyi tamamlayana kadar, API Connect sunucusunun iç ağdaki hassas servislere erişimini güvenlik duvarı kurallarıyla kısıtlayın. Genel öneri
  3. Yükseltme sonrası sürümü doğrulayın ve sunucunun dış kaynaklardan gelen isteklere nasıl yanıt verdiğini kontrol edin. Genel öneri

Ek önlemler

  • API Connect sunucusunun dışa giden bağlantılarını yalnızca gerekli hedeflerle sınırlandırın. Genel öneri
  • Sunucudan iç ağ adreslerine yapılan beklenmedik istekleri izlemek için ağ trafiği kayıtlarını inceleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.