Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-295

CVE-2026-111815

Apache Traffic Server: TLS oturum yeniden kullanımı verify_client STRICT denetimini atlatıyor

Apache Software Foundation Apache Traffic Server

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
6 gün
Kaydı açan
apache

Yönetici özeti

Bu açık, sunucuya bağlanan kullanıcıların kimliğini doğrulama mekanizmasını aşmaya izin verebilir ve kritik seviyede bir risk taşır. Etkilenen sistemlerin hızla güncellenmesi önerilir; aksi halde yetkisiz erişim ve veri sızıntısı riski yüksek kalır.

ÖzetTürkçe

Apache Traffic Server, bir TLS oturumunu SNI sanal sunucuları arasında yeniden kullanabiliyor. Bu durumda, sürdürülen oturumun ait olduğu sunucunun verify_client STRICT politikası gereği istemes sertifika doğrulaması yeniden yapılmıyor. Etkilenen sürümler 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 ve 10.2.0'dır.

Saldırgan ne yapabilir?

Saldırgan, istemci sertifikası doğrulamasını atlayarak istemci kimlik doğrulaması gerektiren sanal sunuculara erişebilir. Bu, yetkisiz erişim ve gizli verilerin ifşa olması veya değiştirilmesi riskini doğurur.

Kaynaktaki açıklama (İngilizce)

Apache Traffic Server can resume a TLS session across SNI virtual hosts without re-verifying a client certificate required by the resumed host's verify_client STRICT policy.

This issue affects Apache Traffic Server: from 8.0.0 through 8.1.11, from 9.0.0 through 9.2.15, from 10.0.0 through 10.1.4, 10.2.0.

Users are recommended to upgrade to version 9.2.16, 10.1.5, or 10.2.1, which fix the issue.

Ne yapmalı?

  1. Apache Traffic Server'ı, etkilenen dal için düzeltilmiş sürüme yükseltin: 9.2.16, 10.1.5 veya 10.2.1. Genel öneri
  2. Yükseltme yapılamıyorsa, istemci sertifikası doğrulaması gerektiren sanal sunucular için TLS oturum yeniden kullanımını geçici olarak devre dışı bırakmayı değerlendirin ve bu yapılandırmanın etkisini test edin. Genel öneri
  3. Yükseltme sonrası sürüm bilgisini doğrulayın ve istemci sertifikası zorunluluğunun tüm SNI sanal sunucularında beklendiği gibi çalıştığını test edin. Genel öneri

Ek önlemler

  • Kritik sanal sunucuların erişim kayıtlarını ve TLS bağlantı kayıtlarını olağandışı oturum yeniden kullanımı ve beklenmeyen kimlik doğrulama başarısı açısından izleyin. Genel öneri
  • İstemci sertifikası gerektiren hizmetleri, mümkünse ek bir uygulama katmanı kimlik doğrulamasıyla birlikte kullanın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apache Software Foundation Apache Traffic Server ≥ 8.0.0, ≤ 8.1.11 –
≥ 9.0.0, ≤ 9.2.15 –
≥ 10.0.0, ≤ 10.1.4 –
10.2.0 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.