Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-918

CVE-2026-116678

Vaultwarden simge (favicon) uç noktasında SSRF: IP adresi içeren ikinci aşama URL'leri ile önceki düzeltmenin atlatılması

dani-garcia vaultwarden

Orta 5,8 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, dışarıdan gelen bir saldırganın parola yöneticisi sunucunuzu kendi iç ağınızdaki sistemlere istek göndermek için kullanmasına olanak tanıyabilir. Dahili sistemlerin bilgileri sızabilir ve iç ağ haritası çıkarılabilir. Sürüm güncellemesi, bu riski ortadan kaldırmak için acil ve öncelikli olarak uygulanmalıdır.

ÖzetTürkçe

Vaultwarden, Bitwarden uyumlu ve Rust ile yazılmış bir parola yöneticisi sunucusudur. 1.37.0 öncesi sürümlerde simge indirici, ilk simge sunucusunun adresini ve DNS sonuçlarını doğrulasa da, saldırganın kontrolündeki HTML'den çıkarılan ikinci aşama favicon URL'lerini doğrulamadan işlemektedir. Bu durum, daha önce yapılan ve ondalık, onaltılık, sekizlik ve IPv4 eşlemeli IPv6 adres biçimlerini kapsayan düzeltmeyi atlatmaktadır. Dahili simge indirme özelliği açık olan kurulumlar etkilenmektedir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan, Vaultwarden sunucusunu döngü (loopback), özel ve dahili ağ adreslerine istek yapmaya zorlayabilir; dahili yanıtların bir kısmını görebilir ya da yanıt süresi, durum ve önbellek davranışlarından dahili servislerin erişilebilirliğini çıkarabilir.

Kaynaktaki açıklama (İngilizce)

Vaultwarden is a Bitwarden-compatible server written in Rust. Prior to version 1.37.0, the Vaultwarden icon downloader validates the initial icon host and DNS results but passes favicon URLs parsed from attacker-controlled HTML to get_page_with_referer() without applying should_block_host() to the second-stage host. This flaw bypasses the remediation for CVE-2026-47160, which covered decimal, hexadecimal, octal, and IPv4-mapped IPv6 host normalization, because the second-stage IP-literal favicon fetch does not invoke the custom DNS resolver. A remote unauthenticated attacker can provide a public page whose favicon uses an IP-literal URL, allowing the Vaultwarden server to reach loopback or private and internal addresses. The issue affects instances with internal icon downloading enabled and can expose internal responses that resemble supported images or reveal reachability through timing, status, and cache behavior. This issue is fixed in version 1.37.0.

Ne yapmalı?

  1. Vaultwarden'ı 1.37.0 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltmeyi uyguladıktan sonra simge indirme özelliğinin beklenen şekilde çalıştığını kontrol edin. Genel öneri
  3. Yükseltme yapamıyorsanız, geçici olarak dahili simge indirmeyi devre dışı bırakmayı ve sunucunun dahili ağ adreslerine giden çıkış trafiğini güvenlik duvarı ile kısıtlamayı değerlendirin. Genel öneri

Ek önlemler

  • Sunucunun dahili ağ hizmetlerine erişimini yalnızca gerekli adreslerle sınırlandırın ve gereksiz çıkış bağlantılarını kapatın. Genel öneri
  • Sunucu çıkış trafiğindeki beklenmedik iç ağ veya döngü adreslerine yönelik istekleri izleyin ve kayıtları inceleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
dani-garcia vaultwarden < 1.37.0 1.37.0

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.