- Son 7 gün
- CWE-77
CVE-2026-105014
Microsoft Azure Pipelines'ta uzaktan kod çalıştırmaya yol açan komut enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- microsoft
Yönetici özeti
Bu açık, yetkisiz kişilerin şirketinizin yazılım derleme ve dağıtım süreçlerine uzaktan müdahale etmesine olanak verebilir. Kritik seviyede değerlendirildiği için en kısa sürede Microsoft'un yayımladığı güncellemenin uygulanması ve durumun izlenmesi önerilir.
ÖzetTürkçe
Microsoft Azure Pipelines hizmetinde, özel karakterlerin gerektiği gibi temizlenmemesinden kaynaklanan bir komut enjeksiyonu (CWE-77) açığı bulunmaktadır. Bu açık, kimlik doğrulaması yapılmamış bir saldırganın ağ üzerinden kod çalıştırmasına olanak tanımaktadır. Kaynak verilerde etkilenen sürüm bilgisi belirtilmemiştir; Microsoft Azure Pipelines kullanan tüm kuruluşlar etkilenmiş sayılmalıdır.
Saldırgan ne yapabilir?
Saldırgan, hedef sistemde kimlik doğrulaması olmadan kod çalıştırabilir; bu da gizli verilere erişim ve yüksek düzeyde gizlilik ve bütünlük kaybı anlamına gelebilir. Kullanılabilirlik etkisi ise kaynak verilerde düşük olarak değerlendirilmiştir.
Kaynaktaki açıklama (İngilizce)
Improper neutralization of special elements used in a command ('command injection') in Azure Pipelines allows an unauthorized attacker to execute code over a network.
Ne yapmalı?
- Microsoft'un MSRC üzerinden yayımladığı yama veya güvenlik güncellemesini hemen uygulayın. Kaynak verilerde belirli bir sürüm numarası bulunmadığından, güncel durumu Microsoft'un güvenlik bildirimlerinden doğrulayın. Genel öneri
- Yama uygulanana kadar, Azure Pipelines ortamınızda kimlik bilgisi ve gizli anahtar içeren değişkenleri gözden geçirin ve gerekirse döndürün. Genel öneri
- Pipeline tanımlarında dışarıdan gelen girdilerin (parametre, ortam değişkeni, pull request içeriği) komut satırına doğrudan aktarılıp aktarılmadığını inceleyin ve bu tür girdileri kısıtlayın. Genel öneri
Ek önlemler
- Pipeline çalışma loglarını ve yönetim etkinliklerini olağandışı komut çalıştırma veya beklenmeyen işlemler açısından izleyin. Genel öneri
- Pipeline'ları çalıştırmak için en az yetkili hizmet hesaplarını kullanın ve gereksiz erişim haklarını kaldırın. Genel öneri
- Kendi kendine barındırılan (self-hosted) ajanların ağ erişimini sınırlayın ve yalnızca gerekli kaynaklara izin verin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Microsoft Azure Pipelines | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.