Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-787

CVE-2026-114550

libwebsockets MQTT PUBACK paket işleyicisinde sınırlar dışına yazma açığı (uzaktan kod çalıştırma)

libwebsockets

Yüksek 8,1 CVSS 3.0
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
0 gün
Kaydı açan
zdi

Yönetici özeti

Bu açık, kimlik doğrulaması gerektirmeden uzaktan istismar edilebilen ciddi bir güvenlik riskidir. Sisteminizde libwebsockets kütüphanesini MQTT özellikleriyle birlikte kullanıyorsanız saldırganların sunucunuzu ele geçirmesi mümkündür. Bu nedenle öncelikli olarak kullandığınız sürümü kontrol edip güncelleme yapılmasını öneririz.

ÖzetTürkçe

libwebsockets kütüphanesinin MQTT protokolü için PUBACK paketlerini işleyen kodunda, kullanıcıdan gelen verinin yeterince doğrulanmamasından kaynaklanan bir sınırlar dışına yazma (out-of-bounds write) açığı bulunmaktadır. Etkilenen sürüm, belirtilen commit (b4b5aed3903eaff09cd76a410f69bbe5dff66f8e) ile sınırlıdır. Açığın kimlik doğrulaması gerektirmediği bildirilmiştir.

Saldırgan ne yapabilir?

Saldırgan, ayrılmış bellek tamponunun sonunun ötesine yazarak etkilenen süreç bağlamında rastgele kod çalıştırabilir. Bu durum sistemin tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

libwebsockets MQTT Protocol PUBACK Packet Handling Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of libwebsockets. Authentication is not required to exploit this vulnerability.

The specific flaw exists within the handling of PUBACK packets. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-31039.

Ne yapmalı?

  1. Etkilenen libwebsockets sürümünü kullanıyorsanız, satıcının (proje) yayımladığı düzeltilmiş sürüme güncelleyin. Bu CVE için düzeltilmiş sürüm numarası veri setinde belirtilmemiştir; satıcının güvenlik danışmanını inceleyin. Genel öneri
  2. Güncelleme yapana kadar, libwebsockets'in MQTT işlevselliğini kullanan servisleri devre dışı bırakın veya bu servislere erişimi güvenilir ağlarla sınırlandırın. Genel öneri
  3. Kütüphaneyi ve bağımlı uygulamaları yeniden derleyip yeniden başlatarak düzeltmenin devreye girdiğini doğrulayın. Genel öneri

Ek önlemler

  • MQTT trafiğini gerektiğinde ağ duvarı (firewall) kuralları ile yalnızca bilinen istemcilere açın. Genel öneri
  • Beklenmeyen süreç çökmeleri, bellek hataları veya olağandışı ağ bağlantılarını izleyerek olası istismar girişimlerini takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
libwebsockets b4b5aed3903eaff09cd76a410f69bbe5dff66f8e –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.