Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-863

CVE-2026-115830

Delinea Secret Server JWT doğrulama hatası: yetki yükseltme (12.3.1 öncesi)

Delinea Secret Server

Yüksek 8,7 CVSS 4.0
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
1 gün
Kaydı açan
Delinea

Yönetici özeti

Bu açık, parola ve gizli bilgi yönetim sisteminizde yetkisiz yönetici erişimine yol açabilir. Kurumsal kimlik bilgilerinin ele geçirilmesi ciddi iş riski doğurur. Sisteminizin sürümünü kontrol edip güncellemenizi öncelikli olarak planlamanız önerilir.

ÖzetTürkçe

Delinea Secret Server'ın 12.3.1 sürümünden önceki sürümlerinde, belirli koşullar altında bir kullanıcı imzasız bir JWT gönderebilmekte ve bunun karşılığında cloudadmin yetkileri alabilmektedir. Etkilenen sürümler 12.2.7 ve öncesidir. Bu durum, yetkilendirme kontrollerinin eksik işlemesinden kaynaklanmaktadır.

Saldırgan ne yapabilir?

Saldırgan, geçerli bir kullanıcı hesabına sahip olması durumunda yönetici düzeyinde cloudadmin yetkilerini elde edebilir ve parola kasasındaki hassas kimlik bilgilerine erişebilir veya bunları değiştirebilir.

Kaynaktaki açıklama (İngilizce)

In Secret Server versions earlier than 12.3.1, a user under certain conditions could submit an unsigned JWT and receive cloudadmin permissions in response.

Üreticinin çözüm notu (İngilizce)

Upgrade to Secret Server version 12.3.1

Ne yapmalı?

  1. Secret Server'ı 12.3.1 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncelleme öncesinde yönetim arayüzüne erişimi yalnızca güvenilen yönetici ağlarıyla sınırlandırarak geçici bir önlem alın. Genel öneri
  3. Güncelleme tamamlanana kadar cloudadmin benzeri yönetici hesaplarının kullanımını ve yetki değişikliklerini yakından izleyin. Genel öneri

Ek önlemler

  • Sistemdeki tüm yönetici yetki atamalarını ve son dönemdeki yetki değişikliklerini denetleyin. Genel öneri
  • Yönetici hesapları için çok faktörlü kimlik doğrulamasını etkinleştirin. Genel öneri
  • Parola kasasındaki kritik kimlik bilgilerini güncelleme sonrasında döndürmeyi değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Delinea Secret Server ≤ 12.2.7 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.