- CWE-304
CVE-2026-101296
Apache Tomcat JNDIRealm: GSSAPI dışı SASL mekanizmalarında kimlik doğrulama bypass'ı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, web uygulamalarının kullanıcı girişini yöneten bir bileşende kimlik doğrulamanın atlanmasına yol açabilmektedir. Kimlik doğrulama sistemine yetkisiz erişim, veri ve hizmet güvenliği açısından yüksek iş riski oluşturur. Etkilenen sistemlerin acilen güncellenmesi önerilir.
ÖzetTürkçe
Apache Tomcat'te JNDI realm, GSSAPI dışında bir SASL kimlik doğrulama mekanizmasıyla yapılandırıldığında bind kimlik bilgisi doğrulaması hatalı çalışmaktadır. Bu nedenle saldırgan doğru parolayı bilmeden kimlik doğrulamasını geçebilmektedir. Etkilenen sürümler 11.0.0-M1 ile 11.0.26, 10.1.0-M1 ile 10.1.60, 9.0.0.M1 ile 9.0.122 arasındaki sürümler olup, destek sonu tarihi geçmiş 8.5.0–8.5.100 ve 7.0.0–7.0.109 sürümleri de etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, ağ üzerinden kimlik doğrulama gerektiren kaynaklara parola bilmeden erişebilir ve yetkisiz işlemler gerçekleştirebilir.
Kaynaktaki açıklama (İngilizce)
A missing critical step in authentication vulnerability in Apache Tomcat when the JNDI realm was configured with with a non GSSAPI SASL authentication mechanism allowed attackers to authenticate without providing the correct password.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.26, from 10.1.0-M1 through 10.1.60, from 9.0.0.M1 through 9.0.122.
The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be affected.
Users are recommended to upgrade to version 11.0.27, 10.1.61 or 9.0.123, which fix the issue.
Ne yapmalı?
- Apache Tomcat'i 11.0.x dalında 11.0.27, 10.1.x dalında 10.1.61 veya 9.0.x dalında 9.0.123 sürümüne yükseltin. Genel öneri
- Güncelleme yapılamıyorsa, JNDI realm'in GSSAPI dışı bir SASL mekanizması kullanacak şekilde yapılandırılmış olup olmadığını kontrol edin ve bu yapılandırmayı mümkünse devre dışı bırakın. Genel öneri
- Desteği sona ermiş 8.5.x veya 7.0.x sürümlerini kullanıyorsanız, desteklenen bir sürüme geçiş planlayın; bu sürümler için resmi bir düzeltme bulunmayabilir. Genel öneri
Ek önlemler
- JNDI realm kimlik doğrulama günlüklerini izleyerek beklenmedik başarılı girişleri inceleyin. Genel öneri
- Tomcat yönetim ve kimlik doğrulama uçlarını yalnızca güvenilir ağlarla sınırlandırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Tomcat | ≥ 11.0.0-M1, ≤ 11.0.26 | – |
| ≥ 10.1.0-M1, ≤ 10.1.60 | – | |
| ≥ 9.0.0.M1, ≤ 9.0.122 | – | |
| ≥ 8.5.0, ≤ 8.5.100 | – | |
| ≥ 7.0.0, ≤ 7.0.109 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.