- Son 7 gün
- CWE-862
CVE-2026-107912
Quarkus quarkus-vertx-http bileşeninde yönetim arayüzünde yetkilendirme atlatma açığı
Red Hat build of Apache Camel 4 for Quarkus 3Red Hat build of Apicurio Registry 3Red Hat build of Debezium 3
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- redhat
Yönetici özeti
Bu açık, kullandığınız bazı yazılım altyapılarında yönetim paneli gibi hassas bölümlerin yetkisiz kişilere açılmasına yol açabilir. Etkilenen ürünlerin yönetim erişimi kötüye kullanılırsa veri ve hizmet güvenliği zarar görebilir. Bu nedenle güncellemelerin öncelikli olarak uygulanması önerilir.
ÖzetTürkçe
Quarkus çatısının quarkus-vertx-http bileşenindeki yönetim arayüzünde, yönetim kök yolu ile izin kuralları yanlış birleştirildiği için güvenlik politikaları yanlış iç yollara uygulanmaktadır. Bu hata, Red Hat Quarkus ve bu çatıyı kullanan OpenShift Serverless, Keycloak, Apicurio Registry, Debezium, OpenShift AI ve Dev Spaces gibi çeşitli ürünleri etkilemektedir.
Saldırgan ne yapabilir?
Saldırgan, yetkilendirme kontrollerini atlayarak hassas yönetim uç noktalarına yetkisiz erişim sağlayabilir. Saldırı için sistemde yerel erişim gerekmekte ve kimlik doğrulama istenmemektedir.
Kaynaktaki açıklama (İngilizce)
A flaw was found in the management interface of the Quarkus framework, specifically within the quarkus-vertx-http component. The issue occurs when the framework incorrectly combines the management root path with specific permission rules, leading to a situation where security policies are applied to the wrong internal paths. As a result, an attacker can bypass intended authorization checks and gain unauthorized access to sensitive management endpoints.
Ne yapmalı?
- Etkilenen Red Hat ürünlerini, Red Hat'in yayımladığı güvenlik bülteninde belirtilen düzeltilmiş sürümlere güncelleyin. Güncelleme için Red Hat'in erişim portalındaki ilgili duyuruya bakın. Genel öneri
- Güncelleme uygulanana kadar yönetim arayüzüne erişimi ağ düzeyinde yalnızca güvenilir yöneticilerle sınırlayın ve dış erişimi engelleyin. Genel öneri
Ek önlemler
- Yönetim uç noktalarına erişim kayıtlarını düzenli olarak inceleyin ve beklenmeyen istekleri araştırın. Genel öneri
- Quarkus tabanlı uygulamalarınızın envanterini çıkarın, hangi ürünlerin etkilendiğini belirleyin ve güncelleme önceliklerini buna göre belirleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler10 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Red Hat build of Apache Camel 4 for Quarkus 3 | Sürüm belirtilmemiş | – |
| Red Hat build of Apicurio Registry 3 | Sürüm belirtilmemiş | – |
| Red Hat build of Debezium 3 | Sürüm belirtilmemiş | – |
| Red Hat Build of Keycloak | Sürüm belirtilmemiş | – |
| Red Hat build of Quarkus | Sürüm belirtilmemiş | – |
| Red Hat Exploit Intelligence | Sürüm belirtilmemiş | – |
| Red Hat Fuse 7 | Sürüm belirtilmemiş | – |
| Red Hat OpenShift AI (RHOAI) | Sürüm belirtilmemiş | – |
| Red Hat OpenShift Dev Spaces | Sürüm belirtilmemiş | – |
| Red Hat OpenShift Serverless | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.