- Yama var
- Son 7 gün
- CWE-73
CVE-2026-114425
SEPPmail Secure Email Gateway'de LFT meta verisi üzerinden keyfi dosya okuma ve silme
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- NCSC.ch
Yönetici özeti
Bu açık, kimlik doğrulaması gerektirmeden e-posta ağ geçidi üzerinden sunucudaki dosyaların okunmasına, değiştirilmesine ve silinmesine izin verebilir. Ağ geçidi kurumun e-posta trafiğinin merkezinde yer aldığı için risk yüksektir ve yamanın hemen uygulanması gerekir.
ÖzetTürkçe
SEPPmail Secure Email Gateway, 15.1.1 sürümünden önceki sürümlerde, dışarıdan gelen Large File Transfer (LFT) ek meta verisindeki dosya yolunu doğrulamadan kullanır. LFT etkinleştirilmiş ve ilgili güvenli e-posta işleme yoluna ulaşan bir iletiyle, kimlik doğrulaması yapılmamış uzaktan bir gönderen, işleyici sürecine erişilebilen normal dosyaları ifşa ettirebilir, taşıyabilir veya silebilir. Doğrulanan işleyici süreçleri root yetkisiyle çalıştığı için etki ağırlaşmaktadır.
Saldırgan ne yapabilir?
Saldırgan, sunucudaki erişilebilen dosyaları okuyabilir, başka bir yere taşıyabilir veya silebilir; işleyici root yetkisiyle çalıştığından bu işlemler sistem genelinde ciddi zarara yol açabilir.
Kaynaktaki açıklama (İngilizce)
SEPPmail Secure Email Gateway before 15.1.1 trusts a file path supplied in externally provided Large File Transfer attachment metadata. An unauthenticated remote sender can cause the mail-processing worker to disclose, move, or delete an accessible regular file when LFT is enabled and the message reaches an affected secure-mail processing path. The validated workers ran as root.
Ne yapmalı?
- SEPPmail Secure Email Gateway'i 15.1.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme öncesinde LFT özelliğinin etkin olup olmadığını kontrol edin ve mümkünse geçici olarak devre dışı bırakın. Genel öneri
- Ağ geçidi üzerindeki hassas dosyaların erişim izinlerini gözden geçirin ve gereksiz dosyaları kaldırın. Genel öneri
Ek önlemler
- Ağ geçidinin dosya sistemi üzerindeki beklenmeyen okuma, taşıma ve silme işlemlerini izleyin ve günlükleri düzenli inceleyin. Genel öneri
- Ağ geçidini en az yetkili kullanıcı ve süreç prensibiyle yapılandırmayı değerlendirin. Genel öneri
- Yedeklerinizin çevrimdışı veya ayrı bir ortamda tutulduğundan ve geri yükleme işleminin test edildiğinden emin olun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SEPPmail AG SEPPmail Secure Email Gateway (SEG) | < 15.1.1 | 15.1.1 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.