VULNERABILIDADDetectada 07 NOV · 03:16

CVE-2026-17405 Autorización de objetos rota en IBM API Connect expone información de keystore

Las comprobaciones de acceso sobre objetos de keystore no confirman que el usuario solicitante tenga permiso para leerlos. Un atacante autenticado de forma remota podría obtener información sensible del keystore. Afecta a IBM API Connect 10.0.8.0 a 10.0.8.12 y 12.1.0.0 a 12.1.1.2.

8.8ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,5 % · percentil 45
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

IBM API Connect
desde 12.1.0.0 hasta 12.1.1.2desde 10.0.8.0 hasta 10.0.8.12

Qué hacer

Verificá si usás API Connect y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to obtain sensitive information due to broken object-level authorization. Access checks on keystore objects do not confirm that the requesting user is permitted to read them, which could expose keystore information.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.