- Yama var
- Son 7 gün
- CWE-639
CVE-2026-109141
Krill: CA kısıtlı kullanıcılar bulk içe aktarma ile diğer CA'lar adına yetki genişletebiliyor
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- NLnet Labs
Yönetici özeti
Bu açık, yetkisi sınırlı bir hesabın, kendisine tanınmayan kurumsal yönlendirme kayıtlarını değiştirmesine olanak tanıyabilir. Ağ yönlendirme güvenliğinde yetkisiz değişiklikler hizmet kesintisine ve itibar kaybına yol açabileceğinden, yazılımın hızla güncellenmesi önerilir.
ÖzetTürkçe
NLnet Labs Krill'de, yetkisi belirli CA'lara sınırlandırılmış bir rolün, CA ile ilişkilendirilmemiş isteklerde tam yetki kümesine sahip olmasına neden olan bir yetkilendirme hatası bulunmaktadır. Bu durum özellikle toplu içe aktarma uç noktasında (POST /api/v1/bulk/cas/import) ortaya çıkmaktadır. Etkilenen sürümler 0.16.1 öncesi Krill kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, kendi yetkisi dışındaki mevcut bir CA altında yeni alt CA oluşturabilir, bu alt CA'ya kaynak atayabilir ve yetkisi olmayan prefix'ler için ROA kayıtları yayımlayabilir. Bu da yönlendirme güvenliğinde ciddi bozulmalara yol açabilir.
Kaynaktaki açıklama (İngilizce)
The vulnerability gives a role that is restricted to a list of CAs (cas = [...]) its full permission set for every request that is not tied to a CA, including the bulk import endpoint POST /api/v1/bulk/cas/import. It adds a new child CA under any existing CA, gives the child any of that CA's resources, and creates the ROAs given in the request
Üreticinin çözüm notu (İngilizce)
This issue is fixed in 0.16.1 and all later versions.
Ne yapmalı?
- Krill'i 0.16.1 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme sonrasında mevcut CA ve ROA kayıtlarını, yetkisiz oluşturulmuş alt CA'lar veya beklenmeyen ROA'lar açısından inceleyin. Genel öneri
- Kısıtlı rollere sahip kullanıcı hesaplarının yetkilerini gözden geçirin ve gereksiz hesapları devre dışı bırakın. Genel öneri
Ek önlemler
- Toplu içe aktarma ve yönetim uç noktalarına yapılan istekleri günlüğe kaydedip düzenli olarak izleyin. Genel öneri
- Yönetim arayüzüne erişimi yalnızca güvenilir ağlarla ve yetkili kullanıcılarla sınırlandırın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| NLnet Labs Krill | ≥ 0.16.1 Etkilenmiyor | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- nlnetlabs.nl/downloads/krill/CVE-2026-109141.txt Üretici bülteni
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.