IBM API Connect
IBM API Connect: autenticazione carente, token di accesso di altri utenti
Il problema, secondo i dati ufficiali
- In IBM API Connect l'autenticazione verso un servizio di directory collegato non viene applicata in modo sufficiente. Un attaccante può ottenere token di accesso validi di altri utenti e assumere l'identità di un altro utente.
- Secondo il punteggio ufficiale, la falla si sfrutta via rete, quindi anche da internet se il servizio è esposto, senza bisogno di un account.
- La scheda raccoglie 6 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- API Connect: dalla 12.1.0.0 alla 12.1.1.2 inclusa; dalla 10.0.8.0 alla 10.0.8.12 inclusa
Fonti ufficiali
- www.ibm.com — avviso del produttore
- www.ibm.com — avviso del produttore
Descrizione ufficiale (in inglese)
IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote attacker to obtain valid access tokens for other users due to improper authentication. Authentication against a connected directory service is not sufficiently enforced, which could allow another user's identity to be assumed.
Non sai se ti riguarda?
Se usi IBM API Connect e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.