- Son 7 gün
- CWE-290
CVE-2026-107147
Roundcube twofactor_gauthenticator eklentisinde IP başlığı taklidiyle 2FA atlatma
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- CERT-PL
Yönetici özeti
Bu açık, e-posta hizmetinde kullanılan iki aşamalı doğrulama korumasını devre dışı bırakabilir. Parolası sızmış kullanıcı hesaplarında saldırganın ek bir güvenlik engeline takılmadan içeri girmesi mümkündür. Etkilenen sistemlerin hızlı şekilde güncellenmesi önerilir.
ÖzetTürkçe
Roundcube için geliştirilen twofactor_gauthenticator eklentisi, istemci IP adresi bilgisini taşıyan Client-IP ve X-Forwarded-For başlıklarını doğrulamadan kabul etmektedir. Saldırgan bu başlıkları sahte bir değerle göndererek beyaz listeye alınmış bir IP adresini taklit edebilir. Bu durum, ikinci doğrulama adımının atlanmasına yol açar. Sorun, depodaki 4640889 commit'i ile giderilmiştir.
Saldırgan ne yapabilir?
Parolasını ele geçiren bir saldırgan, ikinci doğrulama faktörünü aşarak hesaba tam erişim sağlayabilir. Bu da e-posta içeriğinin okunmasına ve hesap üzerinde değişiklik yapılmasına imkân tanır.
Kaynaktaki açıklama (İngilizce)
The twofactor_gauthenticator plugin for Roundcube is vulnerable to 2fa authentication bypass by spoofed client address headers. Due to the lack of validation of the Client-IP and X-Forwarded-For headers, an attacker who obtains user's password can spoof a whitelisted IP address, resulting in the second factor being bypassed.
This issue was fixed in commit 4640889.
Ne yapmalı?
- Eklentiyi, sorunu gideren 4640889 commit'ini içerecek şekilde güncelleyin. Genel öneri
- Güncelleme yapılana kadar eklentinin kullanılan IP beyaz listesini gözden geçirin ve gereksiz girdileri kaldırın. Genel öneri
- Ters proxy veya yük dengeleyici kullanıyorsanız, dış istemcilerden gelen Client-IP ve X-Forwarded-For başlıklarını sunucu tarafında temizleyin veya yeniden yazın. Genel öneri
Ek önlemler
- Kullanıcı parolalarının güçlü ve benzersiz olduğundan emin olun ve gerekirse zorunlu parola sıfırlaması uygulayın. Genel öneri
- Olağandışı oturum açma girişimlerini ve beklenmeyen IP adreslerinden gelen başarılı girişleri izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| alexandregz Twofactor Gauthenticator | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.