- Yama var
- Son 7 gün
- CWE-862
CVE-2026-115373
Incus'ta GET /1.0/operations/{uuid} uç noktasında yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Incus 6.0.7 öncesi, 6.1.0 ile 7.0.2 öncesi ve 7.1.0 ile 7.5.0 öncesi sürümlerde GET /1.0/operations/{uuid} uç noktasında eksik yetkilendirme açığı bulunmaktadır. Bu açık, proje kısıtlamasına tabi istemcilerin diğer projelerdeki işlemleri okumasına olanak tanır. Kısıtlı sertifikaya ve bilinen bir işlem UUID'sine sahip saldırganlar; komut satırlarını, ortam değişkenlerindeki gizli bilgileri, websocket gizli anahtarlarını ve güven kaydı (trust enrolment) belirteçlerini alabilir.
Kaynaktaki açıklama (İngilizce)
Incus before 6.0.7, 6.1.0 before 7.0.2, and 7.1.0 before 7.5.0 contains a missing authorization vulnerability in GET /1.0/operations/{uuid} that lets project-restricted clients read operations in other projects. Attackers holding a restricted certificate and a known operation UUID can retrieve command lines, environment secrets, websocket secrets, and trust enrolment tokens.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lxc incus | < 6.0.7 | 6.0.7 |
| 6.0.7 Etkilenmiyor | – | |
| ≥ 6.1.0, < 7.0.2 | 7.0.2 | |
| 7.0.2 Etkilenmiyor | – | |
| ≥ 7.1.0, < 7.5.0 | 7.5.0 | |
| 7.5.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.