- Yama var
- Son 7 gün
- CWE-323
CVE-2026-109140
Krill oturum belirteçlerinde nonce yeniden kullanımı, yetkisiz token sahteciliğine yol açıyor
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- NLnet Labs
Yönetici özeti
Bu açık, sisteme giriş yapabilen herhangi bir kullanıcının yönetici yetkisi kazanmasına yol açabilir. Krill'i yöneten kuruluşlar için risk yüksektir ve güncelleme ivedilikle planlanmalıdır.
ÖzetTürkçe
Krill, her oturum belirtecini şifrelerken bir sayaçtan türetilen nonce kullanıyor. Bu sayaç her Krill yeniden başlatmasında 0'a sıfırlandığı için aynı anahtar ve nonce çifti yeniden başlatmalardan sonra tekrar kullanılıyor. Etkilenen sürümler Krill kurulumlarını kapsıyor.
Saldırgan ne yapabilir?
Oturum açabilen bir kullanıcı, şifreleme yapısındaki bu zayıflık sayesinde yönetici yetkisi taşıyan bir oturum belirteci üretebilir. Bu da saldırganın yetki yükseltmesine ve Krill üzerinde yönetici düzeyinde işlem yapmasına olanak tanır.
Kaynaktaki açıklama (İngilizce)
The vulnerability is that Krill encrypts every login-session token with a nonce built from a counter that is reset to 0 on every Krill restart, so the same (key, nonce) pair is used again after each restart.
Üreticinin çözüm notu (İngilizce)
This issue is fixed in 0.16.1 and all later versions.
Ne yapmalı?
- Krill'i 0.16.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme sonrasında tüm mevcut oturumların geçersiz kılındığını ve kullanıcıların yeniden giriş yaptığını doğrulayın. Genel öneri
- Güncelleme öncesinde Krill yönetim arayüzüne erişimi yalnızca güvenilen kullanıcı ve ağlarla sınırlandırın. Genel öneri
Ek önlemler
- Krill yönetici hesaplarına ait beklenmedik oturum açma kayıtlarını ve yetki değişikliklerini inceleyin. Genel öneri
- Yönetici hesapları için güçlü kimlik doğrulama kullanın ve gereksiz hesapları kaldırın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| NLnet Labs Krill | ≥ 0.16.1 Etkilenmiyor | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- nlnetlabs.nl/downloads/krill/CVE-2026-109140.txt Üretici bülteni
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.