- Son 7 gün
- CWE-522
CVE-2026-116683
CTFd Terraform Provider'da takım parolalarının state dosyasında hassas olmayan değer olarak saklanması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, yönetim araçlarının kullandığı yapılandırma kayıtlarında takım giriş bilgilerinin açık biçimde tutulmasına yol açmaktadır. Yetkisiz kişilerin bu bilgilere ulaşması, yarışma platformundaki hesapların ele geçirilmesi ve veri bütünlüğünün bozulması riskini doğurur. Kullanılan sürümün mutlaka güncellenmesi önemlidir.
ÖzetTürkçe
'nun CTFd Terraform Provider eklentisi, CTFd kaynaklarını kod olarak yönetmeye yarar. 0.1.5 sürümünden 2.8.2 sürümüne kadar olan sürümlerde ctfd_team.password alanı Terraform state içinde hassas olmayan bir değer olarak tutulmaktadır. Bu nedenle state dosyasına erişimi olan yerel veya uzak bir kullanıcı, ek bir çözme adımına gerek kalmadan takım parolasını okuyabilir.
Saldırgan ne yapabilir?
Saldırgan, state dosyasına erişerek takım parolalarını düz metin olarak okuyabilir ve bu parolaları CTFd takım hesaplarına girmek için kullanabilir.
Kaynaktaki açıklama (İngilizce)
CTFer.io's CTFd Terraform Provider manages CTFd resources as code. From 0.1.5 until 2.8.2, ctfd_team.password is stored as a non-sensitive value in Terraform state. A local or remote user with access to that state can read the team password without an additional decryption step. This issue is fixed in 2.8.2.
Ne yapmalı?
- Terraform Provider'ı 2.8.2 veya daha yeni bir sürüme yükseltin. Genel öneri
- Yükseltmeden önce mevcut state dosyalarını ve bu state dosyalarının yedeklerini inceleyerek takım parolalarının açık biçimde saklanıp saklanmadığını kontrol edin. Genel öneri
- Parolalar state dosyasında açık kaldıysa, etkilenen takım parolalarını CTFd tarafında değiştirin ve yeni parolaları güvenli bir kanal üzerinden paylaşın. Genel öneri
Ek önlemler
- Terraform state dosyalarını yalnızca gerekli yetkili kişilerin erişebileceği şekilde kısıtlayın ve erişim izinlerini düzenli olarak gözden geçirin. Genel öneri
- State dosyalarını uzak bir arka uçta saklıyorsanız bu depoya erişimi çok faktörlü kimlik doğrulama ile koruyun ve erişim kayıtlarını izleyin. Genel öneri
- Terraform kullanan ekiplerde hassas değerlerin state içinde açık tutulmaması için kod incelemelerinde bu konuya dikkat edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ctfer-io terraform-provider-ctfd | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.