- Yama var
- Son 7 gün
- CWE-640
CVE-2026-114421
SEPPmail Secure Email Gateway'de boş başlangıç parolası nedeniyle hesap ele geçirme
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- NCSC.ch
Yönetici özeti
Bu açık, e-posta güvenlik ağ geçidinizde henüz etkinleştirilmemiş bazı kullanıcı hesaplarının dışarıdan bir saldırgan tarafından ele geçirilmesine yol açabilir. Hesabı ele geçirilen kişi, ilgili kullanıcının e-postalarına ve hizmetlerine erişim kaybına uğrayabilir. Ürünün güncellenmesi, işletmeniz için öncelikli bir iş güvenliği önlemidir.
ÖzetTürkçe
SEPPmail Secure Email Gateway ürününün 15.1.1 sürümünden önceki sürümlerinde, oluşturulmuş ancak henüz kaydı tamamlanmamış GINA hesaplarında başlangıç parolası boş bırakılabiliyor. Bu hesaplar için parola kurtarma işlemi sahiplik doğrulaması yeterince yapılmadan kabul edilmektedir. Etkilenen tüm SEPPmail SEG kurulumları bu riskle karşı karşıyadır.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapmayan uzak bir saldırgan, bu tür bir hesabı tespit ettiğinde yeni bir parola belirleyip o hesaba giriş yapabilir. Hedeflenen alıcının hesabı kurtarılana kadar kullanmasını da engelleyebilir.
Kaynaktaki açıklama (İngilizce)
SEPPmail Secure Email Gateway before 15.1.1 permits password recovery for a created but unregistered GINA account whose initial password is empty without adequately verifying ownership. A remote unauthenticated attacker who identifies such an account can set a new password, authenticate as that account, and prevent the intended recipient from using it until recovery.
Ne yapmalı?
- SEPPmail Secure Email Gateway ürününü 15.1.1 veya sonraki bir sürüme yükseltin. Üretici
- Yükseltme öncesinde ve sonrasında, kaydı tamamlanmamış GINA hesaplarını gözden geçirin; başlangıç parolası boş olan hesapları tespit edip gerekiyorsa devre dışı bırakın veya yeniden oluşturun. Genel öneri
- Yükseltmeden önce sistemde kayıtlı bekleyen hesaplar için parola sıfırlama işlemlerinin loglarını inceleyin ve şüpheli bir değişiklik olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Yeni hesap oluşturma sürecinde, kullanıcının kaydını tamamlamadan önce güçlü ve boş olmayan bir geçici parola zorunlu kılın. Genel öneri
- Parola sıfırlama ve hesap kurtarma olaylarını izleyin; beklenmedik kurtarma isteklerinde uyarı üretecek kurallar tanımlayın. Genel öneri
- Yöneticilerin erişim yetkilerini düzenli olarak gözden geçirin ve kullanılmayan hesapları kaldırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SEPPmail AG SEPPmail Secure Email Gateway (SEG) | < 15.1.1 | 15.1.1 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.