- Son 7 gün
- CWE-295
CVE-2026-111814
Apache Traffic Server: Varsayılan oturum paylaşımı ilkesi nedeniyle mTLS kimlik karışıklığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, sistemlerinizin birbirine güvenli bağlantı kurarken kimlik doğrulamasının yanlış kişiye ait olabilmesine yol açabilir. Kritik seviyede derecelendirilmiştir ve gizli verilerin yetkisiz kişilerin eline geçmesi gibi ciddi iş riskleri doğurabilir. Bu nedenle en kısa sürede güncelleme yapılması önerilir.
ÖzetTürkçe
Apache Traffic Server'ın varsayılan giden oturum paylaşımı ilkesi, bir istemci sertifikasıyla kimliği doğrulanmış havuzdaki bir TLS oturumunu, farklı bir istemci sertifikası sunması yapılandırılmış bir işlem için yeniden kullanabilmektedir. Sorun 9.0.0 ile 9.2.15 arasındaki sürümlerde, 10.0.0 ile 10.1.4 arasındaki sürümlerde ve 10.2.0 sürümünde bulunmaktadır. Varsayılan ayarlarla çalışan, arka uç sunucularına karşılık mTLS kullanan tüm Apache Traffic Server kurulumları etkilenir.
Saldırgan ne yapabilir?
Saldırgan, arka uç sunucusunda başka bir istemciye ait kimlik bilgileriyle işlem yapabilir ve yetkisiz erişim elde edebilir. Bu durum veri gizliliğinin ve bütünlüğünün ciddi biçimde zarar görmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Apache Traffic Server's default outbound session-sharing policy can reuse a pooled TLS session authenticated with one client certificate for a transaction configured to present a different one.
This issue affects Apache Traffic Server: from 9.0.0 through 9.2.15, from 10.0.0 through 10.1.4, 10.2.0.
Users are recommended to upgrade to version 9.2.16, 10.1.5, or 10.2.1, which fix the issue.
Ne yapmalı?
- Apache Traffic Server'ı 9.2.x dalında 9.2.16 sürümüne, 10.1.x dalında 10.1.5 sürümüne veya 10.2 dalında 10.2.1 sürümüne yükseltin. Genel öneri
- Güncelleme yapılana kadar, mTLS kullanan arka uç bağlantılarının oturum paylaşımı ilkesini gözden geçirin ve farklı istemci sertifikalarının aynı havuzda paylaşılmadığından emin olun. Genel öneri
Ek önlemler
- Arka uç sunucularınızın erişim günlüklerini, beklenmedik kimlik doğrulama veya olağandışı istemci sertifikası kullanımı açısından inceleyin. Genel öneri
- İstemci sertifikalarını ayrı ayrı izleyin ve kullanılmayan veya yetkisi değişen sertifikaları iptal edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Traffic Server | ≥ 9.0.0, ≤ 9.2.15 | – |
| ≥ 10.0.0, ≤ 10.1.4 | – | |
| 10.2.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.