- Yama var
- Son 7 gün
- CWE-347
CVE-2026-115374
Incus S3 sunucusunda presigned yükleme URL'lerinde imzasız başlık atlatma açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Incus 7.0.0 sürümünden 7.0.2 öncesine ve 7.1.0 sürümünden 7.5.0 öncesine kadar olan sürümler, yerleşik S3 sunucusundaki bir imza doğrulama hatası içerir. Bu hata, önceden imzalanmış URL'lere sahip kişilerin imzasız x-amz-* başlıkları eklemesine olanak tanır. Saldırganlar, önceden imzalanmış bir yükleme URL'sine imzasız bir X-Amz-Copy-Source başlığı ekleyerek, diğer bucket nesnelerini izin verilen anahtara kopyalayabilir; bu da söz konusu nesnelerin içeriklerinin ve ETag değerlerinin ifşa olmasına yol açar.
Kaynaktaki açıklama (İngilizce)
Incus 7.0.0 before 7.0.2 and 7.1.0 before 7.5.0 contains a signature verification flaw in its built-in S3 server that allows presigned URL holders to inject unsigned x-amz-* headers. Attackers can add an unsigned X-Amz-Copy-Source header to a presigned upload URL to copy other bucket objects onto the granted key, disclosing their contents and ETags.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lxc incus | ≥ 7.0.0, < 7.0.2 | 7.0.2 |
| 7.0.2 Etkilenmiyor | – | |
| ≥ 7.1.0, < 7.5.0 | 7.5.0 | |
| 7.5.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.