- Son 7 gün
- CWE-613
CVE-2026-107146
Roundcube twofactor_gauthenticator eklentisinde yetersiz oturum sonlandırma
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- CERT-PL
Yönetici özeti
Bu açık, hesapları ek bir doğrulama katmanıyla korumayı amaçlayan bir eklentinin beklenen güvenliği sağlamamasına yol açıyor. Parolası sızdırılmış kullanıcıların hesapları, ikinci doğrulama adımı aşılarak daha kolay ele geçirilebilir. Risk orta düzeyde olduğundan güncellemenin planlı ama kısa sürede yapılması önerilir.
ÖzetTürkçe
Roundcube için geliştirilen twofactor_gauthenticator eklentisi, başarısız iki faktörlü doğrulamanın ardından oturumu sunucu tarafında sonlandırmaz. Saldırgan çıkış yönlendirmesini yok sayarak oturumu açık tutabilir. Bu durum, kullanıcının parolasını ele geçiren bir saldırganın ikinci faktör kodunu kaba kuvvetle denemesine olanak tanıyabilir.
Saldırgan ne yapabilir?
Saldırgan, parolası ele geçirilmiş bir hesapta ikinci faktör kodunu deneyerek iki faktörlü doğrulama korumasını aşabilir ve hesaba yetkisiz erişim sağlayabilir.
Kaynaktaki açıklama (İngilizce)
The twofactor_gauthenticator plugin for Roundcube is vulnerable to session persistence after failed 2FA verification. Due to the lack of server-side session destruction, an attacker can ignore the logout redirect and keep the session alive. This may allow an attacker who obtains user's password to e.g. brute force the second-factor code.
This issue was fixed in commit 4640889.
Ne yapmalı?
- Eklenti geliştiricisinin düzeltmesini içeren 4640889 numaralı commit uygulanmalıdır. Genel öneri
- Yayımlanmış, düzeltmeyi içeren sabit bir sürüm numarası bilinmediğinden, bu commit'i içeren en güncel kod sürümüne geçilmeli ve eklenti yeniden kurulmalıdır. Genel öneri
- Düzeltme uygulanana kadar yetkisiz erişim şüphesi olan hesapların parolaları değiştirilmeli ve bu hesaplardaki açık oturumlar sonlandırılmalıdır. Genel öneri
- Düzeltme tamamlanana kadar başarısız ikinci faktör denemeleri ve aynı hesapta tekrarlayan giriş girişimleri günlüklerden izlenmelidir. Genel öneri
Ek önlemler
- Kullanıcıların güçlü ve benzersiz parolalar kullanması zorunlu kılınmalıdır. Genel öneri
- Başarısız giriş ve doğrulama denemelerine karşı hesap kilitleme veya hız sınırlama mekanizmaları etkinleştirilmelidir. Genel öneri
- Webmail arayüzüne erişim, mümkünse VPN veya IP adresi kısıtlamalarıyla sınırlandırılmalıdır. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| alexandregz Twofactor Gauthenticator | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.