- Yama var
- Son 7 gün
- CWE-294
CVE-2026-117470
Psono Server'da WebAuthn doğrulama yanıtının tekrar oynatılması ikinci faktör atlatmasına yol açıyor
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- esaqa
Yönetici özeti
Bu açık, kullanıcıların iki adımlı doğrulama korumasını etkisiz hale getirebilir ve parolası ele geçmiş hesaplara erişimi kolaylaştırabilir. Parola yöneticisi gibi hassas verilerin tutulduğu bir sistemde bu risk yüksek öneme sahiptir. Güncellemenin hızla uygulanması önerilir.
ÖzetTürkçe
Psono Server CE ve EE sürümleri 3.1.0 ile 7.2.3 arasında, WebAuthn doğrulaması tamamlandıktan sonra saklanan challenge değerini tüketmiyor. Kullanıcının parolasını bilen ve geçerli bir WebAuthn doğrulama yanıtını ele geçiren uzaktan bir saldırgan, challenge değeri değişmediği sürece bu yanıtı farklı oturum belirteçleriyle yeniden gönderebiliyor. Etkilenen sistemler, Psono Server'ın bu sürüm aralığındaki kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, WebAuthn ikinci faktörünü atlayarak hesaba giriş yapabilir. Saldırı, geçerli bir doğrulama yanıtının önceden ele geçirilmesini gerektirir ve bu yanıt tek başına açık metin gizli bilgi ifşa etmez.
Kaynaktaki açıklama (İngilizce)
Psono Server CE & EE versions 3.1.0 through 7.2.3 did not consume a stored WebAuthn challenge after assertion verification. An unauthenticated remote attacker who possessed the user's password and one captured valid WebAuthn assertion could replay that assertion with separate login tokens while the stored challenge remained unchanged, bypassing the WebAuthn second factor. The attack required capture of a valid assertion and did not itself disclose plaintext secrets.
Üreticinin çözüm notu (İngilizce)
Upgrade to Psono Server 7.2.4 or later.
Ne yapmalı?
- Psono Server'ı 7.2.4 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme tamamlanana kadar WebAuthn ile giriş yapan kullanıcıların oturum hareketlerini ve şüpheli girişleri izleyin. Genel öneri
- Şüpheli görülen hesaplarda parolaları değiştirin ve aktif oturumları sonlandırın. Genel öneri
Ek önlemler
- Yazılım envanterinizde Psono Server sürümlerini kontrol edin ve 7.2.4 öncesi kurulumları öncelikli olarak güncelleyin. Genel öneri
- Kimlik doğrulama günlüklerini düzenli olarak inceleyerek aynı hesapta kısa sürede tekrarlanan doğrulama denemelerini tespit edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| esaqa GmbH Psono | ≥ 3.1.0, < 7.2.4 | 7.2.4 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- gitlab.com/…es/-/blob/master/advisories/CVE-2026-117470.md Üretici bülteni
- gitlab.com/…ommit/9c9a7f1701535df63370340dcc80210737dc495d Yama
- gitlab.com/…3/psono/restapi/serializers/webauthn_verify.py Diğer
- gitlab.com/esaqa/psono/psono-server/-/releases/v7.2.4 Diğer
- gitlab.com/esaqa/psono/psono-server Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.