9.9Critical

CVE-2026-17298 IBM API Connect 已驗證 SSRF 導致敏感資訊外洩

揭露日期 2026-11-07CVSS 3.1：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

對象資安 IT

CWE-918 伺服器端請求偽造（SSRF）

未列入 CISA KEV

PoC 狀態未確認

三句重點

成因: 伺服器端處理使用者可控輸入時，對目標位址檢查不足，構成 CWE-918 SSRF。
影響: 可誘使伺服器取得敏感資訊；IBM CNA 評 CVSS 9.9，NVD 評 7.7。
條件: 需低權限有效帳號，並能網路連到處理該輸入的元件，無需另一次使用者互動。

版本比對

套件	❌ 受影響版本	✅ 安全版本
IBM API Connect	`10.0.8 LTS：10.0.8.0 至 10.0.8.12；V12 OnPrem 12.1：12.1.0.0 至 12.1.1.2`	`>= 10.0.8.13；12.1.1.3`

修補方式

升級至 10.0.8.13；12.1.1.3 以上版本。

攻擊思路

前置條件：攻擊者已持有低權限有效憑證，並能以網路連到會處理該輸入的 API Connect 元件，無需另一次使用者互動。來源
觸發 SSRF：產品處理使用者可控輸入時，伺服器端對目標位址檢查不足，可能對攻擊者指定或可改寫的 URL 或位址發出出站請求。來源
資訊外洩：成功時攻擊者可取得該帳號本不該直接讀到的敏感資訊。IBM 公告將影響描述為資訊外洩。來源

偵測提示

管理介面與 platform-api 入站流量：已驗證請求的 body、query 或 JSON 字串中，出現指向本機、內部網段、link-local 或雲端 metadata 的目標位址。
Management／Gateway／Portal 出站連線：主機突然對 RFC1918、link-local、本機或雲端 metadata 位址建立連線，可能代表 SSRF 已觸發；單一入站規則看不到成功與否。
TLS 解密後的管理流量：產品對外介面多為 HTTPS；未解密的 443 看不到 HTTP 層字串，需在 TLS 解密後或反向代理到內部服務的明文檢查。
子系統之間的內部 HTTP：檢查 Management 與 Gateway 等子系統內部流量（產品文件常見 3000／443）；部署常改埠號，勿只鎖定單一埠。
Cloud Manager／API Manager 暴露面：確認管理介面是否僅對信任網段開放；過寬暴露會讓持有低權限帳號者更容易觸發出站請求。

暫時緩解

請依分支升級：API Connect 12.1 升至 v12.1.1.3，10.0.8 LTS 升至 10.0.8.13。修復已納入 2026-11-05 Security Bulletin，無單獨 hotfix，升級應涵蓋 Management、Developer Portal、Analytics、Gateway。官方未提供暫時緩解；無法立即升級時，將 Cloud Manager、API Manager 與相關管理介面限制於信任網段，並收緊主機出站連線。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

預覽通報內容

🚨【資安漏洞通報】CVE-2026-17298
等級：Critical (9.9)
受影響套件：IBM API Connect 10.0.8 LTS：10.0.8.0 至 10.0.8.12；V12 OnPrem 12.1：12.1.0.0 至 12.1.1.2
漏洞簡述：伺服器端處理使用者可控輸入時，對目標位址檢查不足，構成 CWE-918 SSRF。；可誘使伺服器取得敏感資訊；IBM CNA 評 CVSS 9.9，NVD 評 7.7。；需低權限有效帳號，並能網路連到處理該輸入的元件，無需另一次使用者互動。
建議措施：升級至 10.0.8.13；12.1.1.3 以上版本
詳細連結：https://cve.eacc.online/cve/CVE-2026-17298