- Yama var
- Son 7 gün
- CWE-77
CVE-2026-105980
Welotec TK100, TK500-v2 ve TK500-v3 cihazlarında WireGuard VPN komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- CERTVDE
Yönetici özeti
Bu açık, ağ bağlantısını güvence altına almak için kullanılan VPN cihazlarını etkiliyor ve saldırganın cihazın tam kontrolünü ele geçirmesine yol açabilir. Etkilenen cihazların kurumsal ağ güvenliği açısından yüksek öncelikli olarak güncellenmesi gerekir.
ÖzetTürkçe
WireGuard VPN işlevindeki yetersiz girdi doğrulaması, Welotec TK100, TK500-v2 ve TK500-v3 cihazlarını etkiler. Yüksek yetkilere sahip uzak bir saldırgan, bu açığı kullanarak sistem komutları enjekte edebilir. Bu komutlar root yetkisiyle çalıştırılabilir.
Saldırgan ne yapabilir?
Saldırgan, cihaz üzerinde root yetkisiyle keyfi komutlar çalıştırarak cihazı tamamen ele geçirebilir. Bu durum ağ trafiğinin izlenmesine, yapılandırmanın değiştirilmesine ve ağın diğer bileşenlerine sıçramaya olanak tanır.
Kaynaktaki açıklama (İngilizce)
Improper input validation in the WireGuard VPN function may allow a remote attacker with high privileges to inject system commands and execute them with root privileges.
Ne yapmalı?
- Welotec TK100 cihazlarını 3.5.116 veya daha yeni bir sürüme güncelleyin. Üretici
- Welotec TK500-v2 cihazlarını 1.0.124 veya daha yeni bir sürüme güncelleyin. Üretici
- Welotec TK500-v3 cihazlarını 1.0.123 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme yapılana kadar WireGuard VPN hizmetini kullanılmayan cihazlarda devre dışı bırakın ve yönetim arayüzüne erişimi yalnızca güvenilir ağlarla sınırlayın. Genel öneri
Ek önlemler
- Yönetim arayüzlerini internete doğrudan açmayın ve erişimi IP beyaz listesiyle kısıtlayın. Genel öneri
- Yönetici hesaplarında güçlü, benzersiz parolalar kullanın ve yetkili kullanıcı sayısını azaltın. Genel öneri
- Cihazların sistem günlüklerini düzenli olarak inceleyerek olağan dışı VPN yapılandırma değişikliklerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Welotec TK100 | ≥ 0.0.0, < 3.5.116 | 3.5.116 |
| Welotec TK500-v2 | ≥ 0.0.0, < 1.0.124 | 1.0.124 |
| Welotec TK500-v3 | ≥ 0.0.0, < 1.0.123 | 1.0.123 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.