Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-639

CVE-2026-120461

Jpom için çalışma alanları arası yetki aşımı (/node/ssh_command/batch)

dromara Jpom

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, yetkili bir kullanıcının kendi alanının dışındaki sunuculara erişip komut çalıştırmasına izin verebilir. Sunucularınızın ele geçirilmesi veri kaybı, hizmet kesintisi ve itibar zararı gibi ciddi iş risklerine yol açabilir. Jpom kullanıyorsanız, güncelleme veya geçici önlemler için hemen harekete geçmeniz önerilir.

ÖzetTürkçe

Jpom 2.11.12 ve öncesi sürümlerde, POST /node/ssh_command/batch uç noktası komut şablonlarını ve SSH düğümlerini kimliklerine göre çözümlerken çalışma alanı filtresi uygulamaz. Bu nedenle kimliği doğrulanmış ve bir çalışma alanında SSH komutu çalıştırma yetkisine sahip kullanıcılar, başka çalışma alanlarına ait şablon ve düğüm kimliklerini kullanabilir. Etkilenen, Jpom kullanan tüm kurumlardır.

Saldırgan ne yapabilir?

Saldırgan, kendi yetkisi olmayan çalışma alanlarındaki SSH sunucularında, o sunucuların kayıtlı kimlik bilgileriyle komut çalıştırabilir. Bu da sunucuların tam kontrolünü ele geçirme riskini doğurur.

Kaynaktaki açıklama (İngilizce)

Jpom through 2.11.12 contains a cross-workspace authorization bypass in POST /node/ssh_command/batch that resolves command templates and SSH nodes by ID without workspace filtering. Authenticated users with SSH command execute permission in one workspace can supply foreign template and node IDs to run commands on other workspaces' SSH hosts using their stored credentials.

Ne yapmalı?

  1. Veri sağlayıcının (dromara Jpom) sağladığı, 2.11.12 sürümünden sonra yayımlanan düzeltilmiş bir sürüme güncelleyin. Sağlayıcının kesin düzeltilmiş sürüm bilgisi bu veride yer almadığından, en son kararlı sürümü kullanın. Genel öneri
  2. Güncelleme yapamıyorsanız, SSH komut çalıştırma yetkisini yalnızca güvenilir kullanıcılarla sınırlandırın ve gereksiz yetkileri kaldırın. Genel öneri
  3. Çalışma alanları arasında kullanılan SSH kimlik bilgilerini gözden geçirin ve gerekli görülen yerlerde parolaları veya anahtarları yenileyin. Genel öneri

Ek önlemler

  • Toplu SSH komut isteklerinin kayıtlarını (audit log) düzenli olarak inceleyin ve beklenmeyen çalışma alanı kimliklerine dikkat edin. Genel öneri
  • Her çalışma alanı için en az yetki ilkesini uygulayın; kullanıcılara yalnızca ihtiyaç duydukları çalışma alanlarında yetki verin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
dromara Jpom ≤ 2.11.12 –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.