- Son 7 gün
- CWE-22
CVE-2026-114370
Undertow PathResourceManager'da kardeş dizin sembolik bağlantı üzerinden yol geçişi açığı
Red Hat build of Apache Camel for Spring Boot 4Red Hat Enterprise Linux 8Red Hat Enterprise Linux 9
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- redhat
ÖzetTürkçe
Undertow web sunucusunun, statik dosyaları dosya sisteminden sunmakla sorumlu olan PathResourceManager bileşninde bir kusur tespit edildi. Sorun, bir sembolik bağlantının güvenli bir konufa işaret edip etmediğini doğrulamak için kullanılan mekanizmanın, hedef yolun belirli bir dizgiyle başlayıp başlamadığını kontrol etmesi, ancak bunun tam bir dizin adıyla eşleşip eşleşmediğini doğrulamamasından kaynaklanıyor. Bu durum, bir saldırganın, adı yetkili bir güvenli dizinle aynı karakterlerle başlayan kardeş bir dizindeki dosyalara erişmesine olanak tanıyabilir.
Kaynaktaki açıklama (İngilizce)
A flaw was found in the PathResourceManager component of the Undertow web server. This component is responsible for serving static files from the file system. The issue occurs because the mechanism used to verify if a symbolic link points to a safe location only checks if the target path starts with a specific string, without ensuring it matches a full directory name. This could allow an attacker to access files in a sibling directory if that directorys name starts with the same characters as an authorized safe directory.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler8 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Red Hat build of Apache Camel for Spring Boot 4 | Sürüm belirtilmemiş | – |
| Red Hat Enterprise Linux 8 | Sürüm belirtilmemiş | – |
| Red Hat Enterprise Linux 9 | Sürüm belirtilmemiş | – |
| Red Hat Fuse 7 | Sürüm belirtilmemiş | – |
| Red Hat JBoss Enterprise Application Platform 7 | Sürüm belirtilmemiş | – |
| Red Hat JBoss Enterprise Application Platform 8 | Sürüm belirtilmemiş | – |
| Red Hat JBoss Enterprise Application Platform Expansion Pack | Sürüm belirtilmemiş | – |
| Red Hat Single Sign-On 7 | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.