- Yama var
- Son 7 gün
- CWE-89
CVE-2025-71458
FTS3 Web Monitoring'de /linkinfo üzerinden SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sistemin dış dünyaya açık bir kapısından kimlik bilgilerinin sızmasına yol açabilecek ciddi bir risk taşır. Saldırı için herhangi bir hesap gerekmediğinden, etkilenen kurulumların hemen güncellenmesi önerilir.
ÖzetTürkçe
FTS3 Web Monitoring (fts-monitoring) uygulamasının 3.12.0 ile 3.13.2 arası sürümleri ile 3.14.0 sürümü, get_linkinfo tarafından işlenen /linkinfo uç noktasında kimlik doğrulaması gerektirmeyen bir SQL enjeksiyonu açığı içerir. Uzak saldırganlar source_se ve dest_se sorgu parametreleri üzerinden SQL kodu enjekte edebilir. Açık, cern-fts fts-monitoring kullanan tüm kurulumları etkiler.
Saldırgan ne yapabilir?
Saldırgan, kör SQL enjeksiyonu yoluyla veritabanında saklanan bulut depolama kimlik bilgilerini ve token sağlayıcı istemci gizli anahtarlarını okuyabilir. Bu bilgiler ele geçirilirse depolama alanlarına ve bağlı servislere yetkisiz erişim sağlanabilir.
Kaynaktaki açıklama (İngilizce)
FTS3 Web Monitoring (fts-monitoring) versions 3.12.0 through 3.13.2 and 3.14.0 contain an unauthenticated sql injection vulnerability in the /linkinfo endpoint handled by get_linkinfo. Remote attackers can inject SQL through the source_se and dest_se query parameters to perform blind injection and read stored cloud storage credentials and token provider client secrets.
Ne yapmalı?
- fts-monitoring uygulamasını 3.13.3 veya 3.14.1 sürümüne yükseltin. 3.13.x dalındaki kurulumlar 3.13.3'e, 3.14.0 kurulumları 3.14.1'e geçmelidir. Üretici
- Güncelleme sonrasında /linkinfo uç noktasının dış ağlara erişilebilir olup olmadığını kontrol edin ve gereksiz erişimi kısıtlayın. Genel öneri
- Veritabanında saklanan bulut depolama kimlik bilgilerini ve token sağlayıcı istemci gizli anahtarlarını döndürün, çünkü açık yamalanmadan önce sızmış olabilirler. Genel öneri
Ek önlemler
- Web sunucu erişim günlüklerinde /linkinfo isteklerini, özellikle source_se ve dest_se parametrelerinde şüpheli SQL ifadeleri içerenleri inceleyin. Genel öneri
- Uygulama veritabanı kullanıcısına yalnızca gereken en az yetkiyi verin ve hassas kimlik bilgilerini düz metin olarak saklamaktan kaçının. Genel öneri
- Yönetim ve izleme arayüzlerini mümkünse yalnızca güvenilir ağlardan erişilebilir hale getirin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| cern-fts fts-monitoring | ≥ 3.12.0, < 3.13.3 | 3.13.3 |
| ≥ 3.14.0, < 3.14.1 | 3.14.1 |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/e993c27d60a150c67cc2b415ddb272b5d3f05596 Yama
- github.com/…ommit/96241f6e9911195aae8e9e07bce511da4e81fc08 Yama
- advisories.egi.eu/Advisory-EGI-SVG-2025-09 Üçüncü taraf
- vulncheck.com/…h-3.13.2-and-3.14.0-sql-injection-via-linkinfo Üçüncü taraf
- github.com/…blob/v3.14.0/src/apps/ftsmon/views/linkinfo.py Diğer
- github.com/cern-fts/fts-monitoring/releases/tag/v3.14.1 Diğer
- github.com/cern-fts/fts-monitoring/releases/tag/v3.13.3 Diğer
- github.com/cern-fts/fts-monitoring Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.