- Yama var
- Son 7 gün
- CWE-22
CVE-2026-115375
Incus örnek yedeklerinde dizin geçişi (path traversal) açığı, ana sistemde dosya yazma
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteminizi tamamen ele geçirilebilir hale getirebilir ve CVSS puanı en yüksek seviyeye yakındır. Sunucularınızda Incus kullanılıyorsa, verilerin ve diğer hizmetlerin tamamen kontrol altına alınması riski nedeniyle güncellemeyi öncelikli olarak yapın.
ÖzetTürkçe
Incus'un 7.0.0 ile 7.0.2 öncesi ve 7.1.0 ile 7.5.0 öncesi sürümlerinde, bağımlı özel birim (volume) adlarının instance yedeği index.yaml dosyalarında doğrulanmadan kullanılması nedeniyle bir dizin geçişi açığı bulunuyor. Örnek oluşturma yetkisine sahip istemciler bu açığı kullanabilir. Etkilenen sistemler, bu sürümlerdeki Incus kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, hazırlanmış bir örnek yedeğini içe aktararak ana sistemde kök (root) sahipliğinde dizinler oluşturabilir ve içeriğini kontrol edebilir; bu da ana sistemin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Incus 7.0.0 before 7.0.2 and 7.1.0 before 7.5.0 contains a path traversal vulnerability that allows clients able to create instances to write files on the host. The flaw stems from unvalidated dependent custom volume names in instance backup index.yaml files. Attackers can import a crafted instance backup with ../ sequences in dependent volume names to create root-owned directories with controlled content, leading to full host compromise.
Ne yapmalı?
- Incus'u 7.0.x hattında 7.0.2 veya üzeri, 7.1.x hattında 7.5.0 veya üzeri bir sürüme güncelleyin. Üretici
- Güncelleme tamamlanana kadar, güvenilmeyen kaynaklardan örnek yedeği içe aktarmayı durdurun. Genel öneri
- Örnek oluşturma yetkisini yalnızca güvenilir kullanıcılarla sınırlandırın. Genel öneri
Ek önlemler
- Yedek dosyalarının kaynağını doğrulayın ve yalnızca güvenilen kaynaklardan gelen yedekleri içe aktarın. Genel öneri
- Ana sistemde beklenmeyen kök sahipliğinde dizin veya dosya oluşumlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lxc incus | ≥ 7.0.0, < 7.0.2 | 7.0.2 |
| 7.0.2 Etkilenmiyor | – | |
| ≥ 7.1.0, < 7.5.0 | 7.5.0 | |
| 7.5.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.