- Yama var
- Son 7 gün
- CWE-502
CVE-2026-113779
pfSense REST API paketinde kapsamlı HA ayar senkronizasyon yetkisiyle yetki yükseltme açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
pfSense REST API paketi, pfSense CE ve pfSense Plus güvenlik duvarları için resmi olmayan, açık kaynaklı bir REST ve GraphQL API'sidir. pfSense-pkg-RESTAPI'nin 2.9.0 sürümünden önceki sürümlerinde, özel ayar senkronizasyon yetkisine sahip kimliği doğrulanmış hesapların REST API yapılandırma gizli bilgilerini değiştirmesine izin veren bir yetki yükseltme açığı bulunmaktadır. Bu durum, yönetici olmayan bir kullanıcının yetkilerini tam yöneticiye yükseltmesini sağlar. pfSense-pkg-RESTAPI 2.9.0 sürümü bu sorunu giderir. HA ayar senkronizasyon uç noktasına erişim artık kesinlikle tam yönetici yetkisi (page-all) gerektirmektedir. Alt yönetici senkronizasyon yetkisi, v2.9.0 ve sonraki sürümlerde kaldırılmıştır. Erişim denetimi sınırının düzeltilmesinin yanı sıra 2.9.0 sürümü, varsayılan ayarların isteğe bağlı hale getirilmesi ile biçim ve doğrulama mekanizmalarının modernleştirilmesi gibi sertleştirme önlemlerini de içermektedir. Geçici çözüm olarak, aşağıdaki adımlardan biri veya tamamı uygulanarak maruziyet azaltılabilir: Kapsamlı yetkilerin iptali: Yönetici olmayan tüm kullanıcılardan api-v2-system-restapi-settings-sync-post yetkisini kaldırın. ACL uygulanması: REST API Erişim Kontrol Listelerini (ACL) ve/veya güvenlik duvarı kurallarını, API uç noktalarına erişimi yalnızca güvenilir yönetici ve HA eş IP adresleriyle sınırlayacak şekilde yapılandırın.
Kaynaktaki açıklama (İngilizce)
The pfSense REST API package is an unofficial, open-source REST and GraphQL API for pfSense CE and pfSense Plus firewalls. A privilege escalation vulnerability in pfSense-pkg-RESTAPI prior to version 2.9.0 allows authenticated accounts holding the dedicated settings sync permission to modify REST API configuration secrets. This enables a non-administrative user to elevate their privileges to a full administrator. pfSense-pkg-RESTAPI 2.9.0 patches the issue. Access to the HA settings sync endpoint now strictly requires full administrative privileges (page-all). The sub-administrative sync privilege has been removed in versions v2.9.0 and later. In addition to correcting the access control boundary, version 2.9.0 includes the following hardening measures: opt-in default and format and validation modernization. As a workaround, one may mitigate exposure by taking either or all of the following steps. Revoke Scoped Permissions: Remove the api-v2-system-restapi-settings-sync-post privilege from all non-administrative users. Apply ACLs: Configure REST API Access Control Lists (ACLs) and/or firewall rules to restrict access to API endpoints exclusively to trusted administrator and HA peer IP addresses.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| pfrest pfSense-pkg-RESTAPI | < 2.9.0 | 2.9.0 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.