- Yama var
- Son 7 gün
- CWE-639
CVE-2026-116186
OpenRemote Gateway üzerinde kiracı izolasyonunu bozan yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
OpenRemote core (openremote-manager) 1.31.0 öncesinde, gelen uç ağ geçidi (edge gateway) olaylarında realm veya gateway-alt öğe yetkilendirmesi yapılmamakta ve olayların varlık kimliklerini yalnızca geri döndürülebilir GatewayConnector.mapAssetId dönüşümüyle eşlemektedir. Kayıtlı bir ağ geçidini kontrol eden bir saldırgan, AttributeEvent veya DELETE AssetEvent mesajlarına özel hazırlanmış ön-görüntü (pre-image) kimlikleri yerleştirerek herhangi bir realm'deki varlıkların özniteliklerinin üzerine yazabilir veya bu varlıkları silebilir; bu da kiracı izolasyonunu bozar.
Kaynaktaki açıklama (İngilizce)
OpenRemote core (openremote-manager) before 1.31.0 does not perform realm or gateway-descendant authorization on inbound edge gateway events and maps event asset IDs only through the reversible GatewayConnector.mapAssetId transform. An attacker controlling a registered gateway can craft pre-image IDs in AttributeEvent or DELETE AssetEvent messages to overwrite attributes on, or delete, assets in any realm, breaking tenant isolation.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| openremote core | < 1.31.0 | 1.31.0 |
| 1.31.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.