- Son 7 gün
- CWE-88
CVE-2026-111813
Apache Traffic Server magick eklentisinde istemci sorgu dizelerinin filtrelenmeden ImageMagick'e iletilmesi
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, internetten erişilebilen bir sunucuda kimliği doğrulanmamış saldırganların sistemi tamamen ele geçirmesine olanak verebilir ve CVSS puanı en yüksek seviyededir. Etkilenen Apache Traffic Server sürümü kullanılıyorsa güncelleme acil bir öncelik olmalıdır.
ÖzetTürkçe
Apache Traffic Server'ın deneysel magick eklentisi, varsayılan (imzasız) yapılandırmada kimlik doğrulaması yapılmamış bir istemcinin ImageMagick convert argümanlarını kontrol etmesine izin veriyor. Sorgu dizeleri filtrelenmeden komut satırına aktarıldığı için sorun, 8.0.1–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 ve 10.2.0 sürümlerini etkiliyor.
Saldırgan ne yapabilir?
Saldırgan, sunucuda ImageMagick üzerinden komut enjeksiyonu yoluyla keyfi komutlar çalıştırabilir; bu da sunucunun tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Apache Traffic Server's experimental magick plugin lets an unauthenticated client control ImageMagick convert arguments in its default (unsigned) configuration.
This issue affects Apache Traffic Server: from 8.0.1 through 8.1.11, from 9.0.0 through 9.2.15, from 10.0.0 through 10.1.4, 10.2.0.
Users are recommended to upgrade to version 9.2.16, 10.1.5, or 10.2.1, which fix the issue.
Ne yapmalı?
- Apache Traffic Server'ı, kullandığınız dal için düzeltilmiş sürüme yükseltin: 9.2.16, 10.1.5 veya 10.2.1. Genel öneri
- Güncellemeyi uyguladıktan sonra Traffic Server'ı yeniden başlatın ve sürümün doğru yüklendiğini kontrol edin. Genel öneri
- Yükseltme yapamıyorsanız magick eklentisini devre dışı bırakın veya kaldırın; bu eklenti deneysel bir bileşendir ve gereksiz ise kapatılması en güvenli seçenektir. Genel öneri
Ek önlemler
- Traffic Server'ın dış dünyaya açık olduğu kaynak kodunda ve yapılandırmada magick eklentisinin etkin olup olmadığını envanter üzerinden doğrulayın. Genel öneri
- Sunucunun beklenmedik süreçler (ImageMagick convert gibi) başlatıp başlatmadığını izleyin ve olağandışı komut çalıştırma girişimlerini inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Traffic Server | ≥ 8.0.1, ≤ 8.1.11 | – |
| ≥ 9.0.0, ≤ 9.2.15 | – | |
| ≥ 10.0.0, ≤ 10.1.4 | – | |
| 10.2.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.