- Yama var
- Son 7 gün
- CWE-295
CVE-2026-115216
Eclipse ioFog Operator: TLS sertifika doğrulamasının devre dışı bırakılması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- eclipse
Yönetici özeti
Bu açık, sistemlerin birbirine güvenli bağlanmasını sağlayan doğrulama mekanizmasının kapatılmasından kaynaklanmaktadır ve iş ortamında kimlik bilgilerinin çalınmasına yol açabilir. Kritik seviyede bir risk olduğundan, etkilenen sürümlerin hemen güncellenmesi önerilir.
ÖzetTürkçe
Eclipse ioFog Operator'ın 3.8.0 ile 3.9.2 öncesi sürümlerinde, operatör Controller API'sine bağlanırken ve harici bir OIDC sağlayıcısında oturum açarken TLS sertifika doğrulaması devre dışı bırakılmıştır. Ağ yolu üzerinde konumlanan bir saldırgan herhangi bir sertifika sunarak bağlantıyı ele geçirebilir. Etkilenen kurulumlar, ioFog Operator'ı bu sürüm aralığında kullanan ortamlardır.
Saldırgan ne yapabilir?
Saldırgan, harici modda OAuth istemci gizli anahtarını veya gömülü modda (Controller HTTPS etkinken) Controller yönetici parolasını ele geçirebilir. Ele geçirilen bilgilerle operatörün sonradan Controller API çağrılarında kullandığı erişim belirtecini sunarak sistemi yetkisiz biçimde yönetebilir.
Kaynaktaki açıklama (İngilizce)
In Eclipse ioFog Operator versions 3.8.0 before 3.9.2, TLS certificate verification is disabled when the operator contacts the Controller API and when it logs in to an external OIDC issuer. An on-path attacker can present any certificate, capture the OAuth client secret (external mode) or the Controller bootstrap admin password (embedded mode with Controller HTTPS enabled), and supply the access token the operator stores for later Controller API calls. v3.8 removed Keycloak. The exposed credential is not a Keycloak realm-admin secret.
Ne yapmalı?
- Eclipse ioFog Operator'ı 3.9.2 veya sonraki sürüme yükseltin. Üretici
- Yükseltmeden önce, operatörün kullandığı OAuth istemci gizli anahtarını ve Controller yönetici parolasını yenileyin, çünkü bu sürümde ele geçirilmiş olabilirler. Genel öneri
- Operatörün Controller ve OIDC sağlayıcısına olan ağ trafiğini, sadece bilinen ağlar üzerinden yapılacak şekilde kısıtlayın ve yolda konumlanabilecek ara cihazlara karşı önlem alın. Genel öneri
Ek önlemler
- Operatörün Controller API'sine ve OIDC sağlayıcısına yapılan bağlantılarda sertifika doğrulamasının açık olduğunu yükseltme sonrasında kontrol edin. Genel öneri
- Controller ve OIDC sağlayıcısı erişim kayıtlarını yükseltme öncesi ve sonrası olağandışı oturum açma denemeleri için izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Eclipse ioFog | ≥ 3.8.0, < 3.9.2 | 3.9.2 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.