本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.8 急ぎ度: 早めに

IBM API Connectにテナント不正操作の脆弱性、修正版あり

IBM API Connect V12 OnPremの12.1.0.0〜12.1.1.2に、遠隔からテナントを作成・変更・削除されるおそれのある脆弱性が見つかりました。自社で運用している組織は、修正版の12.1.1.3への更新を進めてください。

CVE-2026-17362 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆

同じ発表の脆弱性 12 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

記事のイメージ(生成 AI による画像)
画像は生成 AI で作成したイメージです

急ぎ度: 早めに

CVSS v3は9.8で、認証なしにネットワークから届く条件のため影響は大きく、修正版の12.1.1.3がすでに出ています。

関係があるか

IBM API Connect V12をオンプレミス（自社管理の環境）で運用していて、版が12.1.0.0から12.1.1.2までの組織が対象です。API基盤を社外の取引先やパートナーに公開している場合は、とくに優先度が上がります。

製品影響を受ける版修正版
IBM API Connect V12 OnPrem 12.1.0.0から12.1.1.2まで 12.1.1.3

確かめ方

  1. 1API Connectの管理画面や導入時の構成記録で、稼働中の版を確認する。12.1.0.0〜12.1.1.2のどれかなら対象です。
  2. 2複数の環境（本番・検証・開発）で動かしている場合は、環境ごとに版を確認する。検証環境だけ古い版のまま残っていることがあります。
  3. 3オンプレミス以外の提供形態を使っている場合は、IBMのセキュリティ情報で自分の環境が対象かを確認する。

何が起きたか

IBM API Connectの管理機能で、操作の権限を確認する処理が欠けていました。外部の第三者がテナントを新しく作ったり、既存のテナントを書き換えたり、削除したりできてしまいます。

CVE-2026-17362として2026年11月7日に公表されました。分類はCWE-862（認可の欠落）で、CVSS v3は9.8です。

IBMは同じ告知で、12.1.1.3で複数の脆弱性を修正したと案内しています。重大度の高いものも並んでおり、代替経路での認証回避でゲートウェイの構成を奪われるおそれがあるCVE-2026-17313（9.8）、申請された定義ファイルの外部参照を悪用したファイル読み取りなどに関するCVE-2026-17299（9.6）、大文字小文字の扱いの不備で管理操作に届いてしまうCVE-2026-17409（9.4）、外部への通信制限の回避につながるCVE-2026-17131（9.3）があります。今回の更新で、これらもまとめて対処できる見込みです。

攻撃の流れ

  1. 1

    到達

    API Connectの管理系の入口にネットワーク経由で届く位置から、要求を送る。

  2. 2

    権限確認なし

    操作する権限があるかの確認が行われないまま、要求が処理される。

  3. 3

    テナントを操作

    テナントの作成、変更、削除が実行される。

  4. 4

    業務への影響

    API提供の構成や利用者の管理状態が、意図しないかたちで変わる。

公開されている情報をもとにした流れの例です。

どう悪用されるか

ログインしていない攻撃者でも、API Connectにネットワーク経由で届けば悪用できます。CVSSの評価では、認証も利用者の操作も要らず、攻撃の複雑さは低いとされています。インターネットに公開している環境はもちろん、社内ネットワークから届く環境でも、内部の端末が侵害されたときに足がかりになります。

悪用された場合は、テナントを勝手に作られたり、設定を書き換えられたり、削除されたりします。機密性・完全性・可用性のいずれもCVSSでは高い影響と評価されています。筆者は、テナント単位で管理しているAPIの公開設定や利用者の状態が壊れるのが、運用上いちばんの痛手になると見ています。

今すぐやること

  1. 1

    稼働中の版を洗い出す

    API Connect V12 OnPremの本番・検証・開発の全環境で版を確認し、12.1.0.0〜12.1.1.2のものを一覧にします。

  2. 2

    12.1.1.3に更新する

    対象の環境を修正版の12.1.1.3へ更新します。更新前には構成のバックアップを取り、まず検証環境で動作を確かめてから本番に反映します。同じ版で他の重大な脆弱性も修正されているため、一度の更新で済ませるのが効率的です。

  3. 3

    ネットワーク上の公開範囲を見直す

    管理系やAPIの受け口が、インターネットや広い社内ネットワークに不要に公開されていないかを確認します。更新が済むまでの間も、届く範囲を狭めておくとリスクが下がります。

  4. 4

    テナントの状態を点検する

    見覚えのないテナントがないか、既存のテナントが意図せず変更・削除されていないかを確認します。管理操作の記録が残っていれば、不審な時間帯がないかも見ておきます。

  5. 5

    IBMの告知で最新の案内を確認する

    IBMのセキュリティ情報（Security Bulletin: Multiple Vulnerabilities in IBM API Connect）で、更新手順と対象範囲の最新の案内を確認します。

すぐ更新できないとき

更新までのつなぎとして、API ConnectのManagement系の入口へ届く経路を、管理者や信頼できる接続元に限定します。ファイアウォールやリバースプロキシで制限するのが現実的です。ただし、原因は権限確認の欠落そのものなので、これは時間稼ぎにすぎず、根本の対策は12.1.1.3への更新です。IBMが別の回避策を案内していないかは、告知で確認してください。

背景

IBM API Connectは、企業がAPIを作って公開し、利用者や取引先ごとに管理するための基盤です。ゲートウェイ、管理機能、開発者向けのポータルを備えていて、社内システムと外部を結ぶ位置にあります。管理機能が破られると、個々のAPIだけでなく、その上で動く連携全体に影響が及びます。

認可の欠落は、ログインできるかではなく、ログインした相手にその操作を許してよいかを確認し忘れる種類の問題です。APIのセキュリティで代表的な不備として、OWASP API Security Top 10にも、オブジェクト単位や機能単位の認可の不備が挙げられています。今回の脆弱性は、そのうち管理操作の入口で起きたものです。テナントの作成・変更・削除は、基盤の運用者だけに許される操作のはずでした。

よくある質問

Q.更新後に、別途やることはありますか。
A.12.1.1.3は複数の脆弱性をまとめて修正した版なので、個別のパッチを追加で探す必要は基本的にありません。更新後は版が12.1.1.3になったことを確認し、テナントの一覧に不審な変更が無いかを見ておくと安心です。
Q.インターネットに公開していなければ、急がなくてよいですか。
A.公開していなくても、社内ネットワークから届く環境なら、内部の端末が侵害されたときに悪用される余地があります。ただ、公開している環境よりは優先度を下げられるため、公開の有無で更新の順番を決めるのが現実的です。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

パッケージ影響を受ける版 → 修正版
IBMAPI Connect V12 OnPrem
12.1.0.0 〜 12.1.1.2→ 記載なし
IBMAPI Connect
12.1.0.0 〜 12.1.1.2→ 記載なし

この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to create, modify, or delete tenants due to missing authorization.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく