Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-1289

CVE-2026-116870

Octopus Server OIDC token issuer doğrulamasında yetki aşımına yol açan zafiyet

Octopus Deploy Octopus Server

Yüksek 8,7 CVSS 4.0
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
Octopus

Yönetici özeti

Octopus Server'daki bu açık, dağıtım altyapınızdaki hizmet hesaplarının yanlış kimlik doğrulamasına yol açabilir. Saldırganlar bunu kötüye kullanarak dağıtım süreçlerini ve bağlı sistemleri etkileyebilir. Yetkisiz erişim riski yüksek olduğundan güncellemenin öncelikli olarak planlanması önerilir.

ÖzetTürkçe

Octopus Server'daki OIDC token issuer doğrulaması tutarsız uygulanmaktadır. Bu nedenle, uygun şekilde yapılandırılmış yasal olmayan bir issuer tarafından üretilen bir token, güvenilir bir issuer'a ait service account token'ı gibi kabul edilebilmektedir. Sömürü için en az bir OIDC kimliği yapılandırılmış bir service account gerekir ve saldırganın bu kimliğin bazı ayrıntılarını bilmesi ya da tahmin etmesi gerekir. Etkilenen sürümler 2024.1.0 ile başlayan, ilgili düzeltilmiş sürümlerden önceki tüm 2026.1, 2026.2 ve 2026.3 dallarıdır.

Saldırgan ne yapabilir?

Başarılı bir sömürüde saldırgan, meşru bir service account'un yetkileriyle kimlik doğrulaması yapabilir ve yüksek düzeyde gizlilik, bütünlük ve erişilebilirlik etkisi oluşturabilir.

Kaynaktaki açıklama (İngilizce)

In affected versions of Octopus Server, OIDC token issuer validation was performed inconsistently. This could result in a token issued from a suitably configured non legitimate issuer being accepted as a token belonging to a service account from a legitimate trusted issuer. Exploitation requires a service account with at least one OIDC identity configured. An attacker would also need to know or guess some details of that identity in order to be in a position to attempt exploitation.

Ne yapmalı?

  1. Octopus Server'ı, etkilenen dalınıza uygun düzeltilmiş sürüme yükseltin: 2026.1 dalında 2026.1.11781, 2026.2 dalında 2026.2.13438, 2026.3 dalında 2026.3.15816 veya üzeri. Üretici
  2. Yükseltme tamamlanana kadar OIDC kimliği yapılandırılmış service account'ların listesini çıkarın ve gereksiz olanları devre dışı bırakın ya da kaldırın. Genel öneri
  3. Güvenilir issuer listenizi gözden geçirin ve yalnızca gerçekten kullanılması gereken issuer'ların yapılandırıldığından emin olun. Genel öneri

Ek önlemler

  • Service account'lara tanımlanan OIDC kimlik ayrıntılarının tahmin edilemez olmasını ve yalnızca gerekli kişilerce bilinmesini sağlayın. Genel öneri
  • Service account'ların beklenmedik kimlik doğrulama denemelerini ve farklı issuer'lardan gelen token kullanımını sunucu günlüklerinden izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Octopus Deploy Octopus Server ≥ 2024.1.0, < 2026.1.11781 2026.1.11781
≥ 2026.2.0, < 2026.2.13438 2026.2.13438
≥ 2026.3.0, < 2026.3.15816 2026.3.15816

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.