Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-863

CVE-2026-111812

Apache Traffic Server origin_server_auth: İstemci kontrollü AWS başlıklarının proxy IAM kimlik bilgileriyle imzalanması

Apache Software Foundation Apache Traffic Server

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
6 gün
Kaydı açan
apache

Yönetici özeti

Bu açık, sunucunuzun bulut hesabındaki yetkilerin kötüye kullanılmasına yol açabilir ve veri sızıntısı ya da yetkisiz değişiklik riskini doğurur. Kritik seviyede puanlandığı için etkilenen sürümler kullanılıyorsa öncelikli olarak ele alınmalıdır.

ÖzetTürkçe

Apache Traffic Server'ın origin_server_auth eklentisi, istemcinin seçtiği AWS istek başlıklarının proxy'nin kendi kimlik bilgileriyle imzalanmasına olanak tanıyor. Etkilenen sürümler 8.0.0 ile 8.1.11, 9.0.0 ile 9.2.15, 10.0.0 ile 10.1.4 ve 10.2.0 arasındaki sürümlerdir. Sorun CWE-863 (yetersiz yetkilendirme) sınıfına girmektedir.

Saldırgan ne yapabilir?

Saldırgan, proxy'nin IAM kimlik bilgileriyle imzalanmış isteklerin gönderilmesini sağlayarak yetkisiz gizli veri okuma veya değiştirme işlemlerine yol açabilir. Gizlilik ve bütünlük üzerinde yüksek etki beklenir.

Kaynaktaki açıklama (İngilizce)

Apache Traffic Server's origin_server_auth plugin lets a client force signing of attacker-chosen AWS request headers under the proxy's own credentials.

This issue affects Apache Traffic Server: from 8.0.0 through 8.1.11, from 9.0.0 through 9.2.15, from 10.0.0 through 10.1.4, 10.2.0.

Users are recommended to upgrade to version 9.2.16, 10.1.5, or 10.2.1, which fix the issue.

Ne yapmalı?

  1. Apache Traffic Server'ı etkilenen sürüm dallarına göre güncelleyin: 9.x dalında 9.2.16, 10.1.x dalında 10.1.5 veya 10.2.x dalında 10.2.1 sürümüne geçin. Sürüm 8.x kullanıyorsanız, 8.1.11 ve öncesi sürümler etkilenmektedir ve yükseltme için satıcı bildirimini inceleyin. Genel öneri
  2. Güncelleme yapılana kadar origin_server_auth eklentisini devre dışı bırakmayı veya kullanımını kısıtlamayı değerlendirin. Genel öneri
  3. Proxy'nin kullandığı IAM kimlik bilgilerinin yetkilerini en az ayrıcalık ilkesine göre daraltın. Genel öneri

Ek önlemler

  • Proxy üzerinden yapılan AWS istek kayıtlarını ve olağandışı kimlik doğrulama davranışlarını izleyin. Genel öneri
  • Güncelleme sonrasında sürüm numarasını doğrulayın ve yapılandırmanın beklenen şekilde çalıştığını test edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apache Software Foundation Apache Traffic Server ≥ 8.0.0, ≤ 8.1.11 –
≥ 9.0.0, ≤ 9.2.15 –
≥ 10.0.0, ≤ 10.1.4 –
10.2.0 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.