- Yama var
- Son 7 gün
- CWE-639
CVE-2026-119215
AshAuthentication TOTP kurulumunda başka kullanıcının hesabına yetkisiz authenticator sırrı yazılması
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- EEF
Yönetici özeti
Bu açık, sisteme giriş yapabilen bir kullanıcının başka kullanıcıların hesaplarını ele geçirmesine imkân verebilir ve hesap güvenliğini doğrudan tehlikeye atar. Kullandığınız yazılım sürümünü kontrol edip güncellemeyi öncelikli olarak planlamanız önerilir.
ÖzetTürkçe
AshAuthentication kütüphanesinin TOTP (iki adımlı doğrulama) kurulum akışında, kurulum belirteci (token) ile kaydın eşleşmesi doğrulanmıyordu. Ayrıca TOTP kurulum değişiklikleri, standart AshAuthenticationInteraction politika atlatma mekanizması tarafından geçilebilen şekilde işaretlenmişti; bu nedenle kullanıcının yalnızca kendi kaydına izin veren politikalar çalışmıyordu. Etkilenen sürümler 5.0.0-rc.0 ile 5.0.0-rc.16 öncesidir; kurulum ve kurulum onayı eylemlerini kayıt anahtarıyla dışarıya açan uygulamalar risk altındadır.
Saldırgan ne yapabilir?
Yetkili bir kullanıcı, kendi kontrolündeki TOTP sırrını başka bir kullanıcının hesabına tanımlayabilir; böylece o hesaba giriş yapabilir ya da ikinci doğrulama faktörünü ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
Authorization Bypass Through User-Controlled Key vulnerability in team-alembic ash_authentication allows a user with an account to install a TOTP secret they control on another user's account, and then sign in as that user or hold their second factor.
AshAuthentication.Strategy.Totp.ConfirmSetupChange verified a setup token but did not check that it was issued to the record being confirmed, so an attacker's own pending secret could be confirmed onto another user's record. The TOTP setup changes, ConfirmSetupChange, GeneratePendingSetupChange and GenerateSecretChange, also marked their changesets as AshAuthentication interactions, which the standard AshAuthenticationInteraction policy bypass lets through. A policy limiting setup and confirm_setup to the actor's own record therefore never ran when an application exposed those actions by record key, and a direct setup call on another user's record returned that user's pending secret and setup token.
This issue affects ash_authentication: from 5.0.0-rc.0 before 5.0.0-rc.16.
Üreticinin geçici önlemi (İngilizce)
Do not expose setup or confirm_setup on a record the caller chooses. Call them through AshAuthentication.Strategy.Totp.Actions with the signed-in user, as the built-in routes do.
Ne yapmalı?
- AshAuthentication kütüphanesini 5.0.0-rc.16 veya üzeri bir sürüme yükseltin. Üretici
- Güncelleme yapılana kadar kurulum ve kurulum onayı eylemlerini kayıt anahtarıyla kullanıcıların seçebileceği uç noktalara açmayın; bu eylemleri oturum açmış kullanıcı üzerinden, AshAuthentication.Strategy.Totp.Actions aracılığıyla çağırın. Üretici
- Güncelleme sonrasında TOTP kurulum ve onay akışlarını test ederek yalnızca kullanıcının kendi hesabı üzerinde işlem yapılabildiğini doğrulayın. Genel öneri
Ek önlemler
- Hesaplara beklenmedik TOTP kurulum veya değişiklik kayıtları için uygulama ve kimlik doğrulama günlüklerini izleyin. Genel öneri
- Kritik hesaplar için ikinci doğrulama faktörü değişikliklerinde ek onay ya da bildirim mekanizması uygulayın. Genel öneri
- Kimlik doğrulama ve yetkilendirme politikalarını, yalnızca istemci tarafından gönderilen kayıt anahtarlarına güvenmeyecek şekilde gözden geçirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| team-alembic Ash Authentication | ≥ 5.0.0-rc.0, < 5.0.0-rc.16 | 5.0.0-rc.16 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…cation/security/advisories/GHSA-gx67-694c-655c Üretici bülteni
- github.com/…ommit/4058be0f519c2e9b0d2266e90f9c7d8547d54574 Yama
- cna.erlef.org/cves/CVE-2026-119215.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-119215 Diğer
- github.com/…ommit/6e7a880698614887527a87df206b4eb0c0fbd8c1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.