9.9Critical

CVE-2026-17147 IBM API Connect 已驗證路徑遍歷導致任意程式碼執行

揭露日期 2026-11-07CVSS 3.1：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

對象資安 IT

CWE-22 路徑穿越

未列入 CISA KEV

PoC 狀態未確認

三句重點

成因: 應用程式以外部輸入組成 pathname，未正確限制路徑，解析後位置可能超出受限目錄。
影響: 低權限遠端攻擊者可執行任意程式碼並進行未授權管理操作。
條件: 攻擊者需持有低權限認證，並能自網路連線至受影響的 IBM API Connect。

版本比對

套件	❌ 受影響版本	✅ 安全版本
IBM API Connect	`10.0.8.0 至 10.0.8.12（含）；12.1.0.0 至 12.1.1.2（含）`	`>= 10.0.8.13；12.1.1.3`

修補方式

升級至 10.0.8.13；12.1.1.3 以上版本。

攻擊思路

取得低權限認證：攻擊者需以遠端已驗證的低權限帳號連線；未驗證攻擊不在此漏洞範圍。官方未公布所需角色。來源
送出路徑遍歷請求：對網路可達、會以使用者輸入組成檔案路徑的介面送出含路徑遍歷元素的請求。官方未公布 HTTP 方法、路徑或欄位。來源
路徑跳出受限目錄：應用程式未正確限制 pathname，解析後的位置可能落在受限目錄之外（CWE-22）。產品閉源，無公開 diff。來源
任意程式碼與管理操作：IBM 表示成功利用後可執行任意程式碼並進行未授權管理操作。官方未公布受影響子系統或檔案操作類型。來源

偵測提示

API Connect 存取與稽核日誌：檢查已驗證低權限帳號對管理或入口介面的異常請求，以及隨後出現的未授權管理操作。
TLS 終止後的內部流量：管理與入口流量多為 TLS；明文層的路徑遍歷特徵僅能在 TLS 終止後的內部鏈路觀察。
帳號與權限變更紀錄：檢討低權限帳號的異常登入、權限變更，以及非預期的管理設定異動。
各子系統版本：核對 Management、Portal、Analytics、Gateway 是否皆已達修補版本；未列出的不受支援版本不代表未受影響。
主機檔案與行程行為：關注限制目錄外的異常檔案讀寫，以及認證後隨即出現的未預期程式執行。官方未公布落地路徑。

暫時緩解

請升級：API Connect 10.0.8（LTS）至 10.0.8.13（Fix Central）；V12 OnPrem 至 12.1.1.3。IBM 未提供單顆 hotfix，Security Bulletin 7295635 與 7295637 亦無官方緩解。Management、Portal、Analytics、Gateway 等子系統均須到達修補版本。升級前可縮小管理介面網路存取範圍並檢討低權限帳號，仍無法消除漏洞。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

預覽通報內容

🚨【資安漏洞通報】CVE-2026-17147
等級：Critical (9.9)
受影響套件：IBM API Connect 10.0.8.0 至 10.0.8.12（含）；12.1.0.0 至 12.1.1.2（含）
漏洞簡述：應用程式以外部輸入組成 pathname，未正確限制路徑，解析後位置可能超出受限目錄。；低權限遠端攻擊者可執行任意程式碼並進行未授權管理操作。；攻擊者需持有低權限認證，並能自網路連線至受影響的 IBM API Connect。
建議措施：升級至 10.0.8.13；12.1.1.3 以上版本
詳細連結：https://cve.eacc.online/cve/CVE-2026-17147