9.9Critical

CVE-2026-17049 IBM API Connect 12.1 使用者可控金鑰導致授權繞過（IDOR）漏洞

揭露日期 2026-11-07CVSS 3.1：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

對象資安 IT

CWE-639 透過使用者控制金鑰繞過授權

未列入 CISA KEV

PoC 狀態未確認

三句重點

成因: 存取資源時使用使用者可控的金鑰，伺服器未正確驗證授權（CWE-639）。
影響: 可讀取敏感資訊並修改任意文件，影響範圍可跨越原本的授權邊界。
條件: 需持有有效的低權限帳號，可經網路遠端發動，無需使用者互動。

版本比對

套件	❌ 受影響版本	✅ 安全版本
IBM API Connect	`12.1.0.0 至 12.1.1.2`	`>= 12.1.1.3`

修補方式

升級至 12.1.1.3 以上版本。

攻擊思路

取得低權限帳號：攻擊者須先持有 API Connect 的有效低權限帳號並通過驗證，IBM 公告描述為已驗證的遠端攻擊者。來源
繞過授權檢查：利用使用者可控金鑰的缺陷，讓系統在存取資源時未正確檢查授權，取得本不應有的存取能力。來源
讀取與修改資料：成功繞過後可讀取敏感資訊並修改任意文件，影響可能跨越原本的授權邊界。具體端點與參數官方尚未公開。來源

偵測提示

API Connect 管理介面與 REST API 存取日誌：低權限帳號存取非所屬組織、目錄或資源的物件識別碼，或短時間內大量枚舉不同識別碼。
稽核日誌（修改類操作）：低權限帳號對非其職責範圍的文件或設定執行修改，或與帳號角色不符的異動紀錄。
回應狀態碼分布：同一帳號出現異常多的 403／404 後接續成功的 200 回應，可能是授權探測行為。
帳號與角色清單：盤點低權限帳號，確認無閒置、共用或來源不明的帳號。
資產盤點：確認部署版本是否落在 12.1.0.0 至 12.1.1.2 範圍內。

暫時緩解

IBM 強烈建議升級至 IBM API Connect 12.1.1.3，可由 Fix Central 取得。IBM 未提供官方暫時緩解措施；無法立即升級時，可將管理介面限制為僅受信任的內部網路存取，並盤點、縮減低權限帳號（此為一般性防護建議，非官方緩解）。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

預覽通報內容

🚨【資安漏洞通報】CVE-2026-17049
等級：Critical (9.9)
受影響套件：IBM API Connect 12.1.0.0 至 12.1.1.2
漏洞簡述：存取資源時使用使用者可控的金鑰，伺服器未正確驗證授權（CWE-639）。；可讀取敏感資訊並修改任意文件，影響範圍可跨越原本的授權邊界。；需持有有效的低權限帳號，可經網路遠端發動，無需使用者互動。
建議措施：升級至 12.1.1.3 以上版本
詳細連結：https://cve.eacc.online/cve/CVE-2026-17049