- Son 7 gün
- CWE-335
CVE-2026-118765
Botan AutoSeeded_RNG sıfırlandıktan sonra tahmin edilebilir veriyle yeniden başlatılabiliyor
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, uygulamaların güvenlik anahtarları ve oturum bilgileri için kullandığı rastgele sayı üretimini zayıflatabilir. Tahmin edilebilir hale gelen güvenlik değerleri, şifreli verilerin ve oturumların korumasını ciddi biçimde azaltabilir. Etkilenen kütüphaneyi kullanan sistemlerin güncellemeleri öncelikli olarak planlanmalıdır.
ÖzetTürkçe
Botan, C++ ile yazılmış bir kriptografi kütüphanesidir. 3.7.0 ile 3.13.0 öncesi sürümlerde, AutoSeeded_RNG::clear çağrısından sonra, tohumlanmamış durumdayken boş bir çıktı tamponuyla randomize işlevi çağrılırsa, üretici yapılandırılmış entropi kaynağına başvurmadan kendisini tohumlanmış olarak işaretleyebilir. BOTAN_HAS_SYSTEM_RNG olmadan derlenen sistemlerde yedek mekanizma yalnızca bir saat değeri ve işlem kimliğini kullandığından, sonraki boş olmayan bir istek tahmin edilebilir bir durumdan çıktı üretebilir. Etkilenen kullanıcılar, bu Botan sürümlerini kullanan uygulama geliştiricileri ve sunucu yöneticileridir.
Saldırgan ne yapabilir?
Saldırgan, rastgele sayı üreticisinin çıktısını tahmin ederek anahtar, oturum belirteci veya nonce gibi kriptografik değerleri ele geçirebilir ve bu değerlerin güvenliğini bozabilir.
Kaynaktaki açıklama (İngilizce)
Botan is a C++ cryptography library. From 3.7.0 until 3.13.0, an application that calls AutoSeeded_RNG::clear() and then calls randomize with an empty output buffer while the generator is unseeded can cause AutoSeeded_RNG to mark itself seeded without consulting the configured entropy source. On builds without BOTAN_HAS_SYSTEM_RNG, the fallback uses only a clock value and process ID, so a later non-empty request can produce output from predictable state. This issue is fixed in version 3.13.0.
Ne yapmalı?
- Botan kütüphanesini 3.13.0 veya daha yeni bir sürüme yükseltin. Genel öneri
- Uygulamanızın AutoSeeded_RNG::clear çağrısını kullanıp kullanmadığını kontrol edin; güncelleme yapamıyorsanız bu çağrının kullanıldığı yerleri geçici olarak kaldırın veya kullanımını sınırlandırın. Genel öneri
- Güncellemeden sonra uygulamayı yeniden derleyip yeniden başlatın ve kriptografik işlevlerin beklendiği gibi çalıştığını test edin. Genel öneri
Ek önlemler
- Üçüncü taraf kriptografi kütüphanelerini düzenli olarak güvenlik bültenleriyle karşılaştırarak takip edin. Genel öneri
- Üretilen anahtar ve nonce değerlerinin beklenmedik biçimde tekrar etmediğini izlemek için kayıt ve denetim mekanizmaları kurun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| randombit botan | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.