- Son 7 gün
- CWE-94
CVE-2026-121428
AzuraCast'te zaman dilimi alanı üzerinden Supervisor yapılandırma enjeksiyonu (uzaktan kod çalıştırma)
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, yetkili bir yönetici hesabının sunucu üzerinde tam yetkiyle komut çalıştırmasına olanak tanıyabilir; bu da sistemin tamamen ele geçirilmesi anlamına gelir. Müşteri ve yayın verilerinin güvenliği açısından yüksek risk taşıdığından yamanın hemen uygulanması önerilir.
ÖzetTürkçe
AzuraCast 0.23.8 ve öncesi sürümlerinde, istasyon zaman dilimi alanına satır sonu karakterleri içeren bir değer girilebildiği için Supervisor yapılandırmasına dışarıdan kod enjekte edilebilmektedir. Saldırgan, profil düzenleme API'sine bu şekilde hazırlanmış bir zaman dilimi göndererek yeni bir Supervisor programı tanımlayabilir. Etkilenen, kimliği doğrulanmış istasyon yöneticisi yetkisine sahip hesaplar üzerinden erişilebilen AzuraCast kurulumlarıdır.
Saldırgan ne yapabilir?
Yetkili bir istasyon yöneticisi, yapılandırma yeniden oluşturulduğunda root yetkisiyle işletim sistemi komutları çalıştırabilir. Bu da sunucunun tamamen ele geçirilmesine ve ondan kaynaklanan tüm verilerin etkilenmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
AzuraCast through 0.23.8 contains a remote code execution vulnerability that allows authenticated station managers to inject Supervisor configuration through the station timezone field. Attackers can submit a timezone containing newlines to the profile edit API, defining a new Supervisor program that executes OS commands as root when configuration regenerates.
Ne yapmalı?
- Satıcının belirttiği düzeltilmiş bir sürüme veya güvenlik tavsiyesine ait çözüme derhal geçin; veri sağlanmadığı için sürüm numarası belirtilememektedir, resmi AzuraCast duyurusunu kontrol edin. Genel öneri
- Yama uygulanana kadar istasyon yöneticisi hesaplarını gözden geçirin ve gereksiz yetkili hesapları devre dışı bırakın. Genel öneri
- Zaman dilimi alanlarında satır sonu karakteri içeren değerleri sunucu tarafında doğrulayın veya reddedin. Genel öneri
- Supervisor yapılandırma dosyalarında yetkisiz veya beklenmeyen program tanımlarını inceleyin ve yapılandırmayı yeniden oluşturmadan önce kontrol edin. Genel öneri
Ek önlemler
- İstasyon yöneticisi hesaplarında en az ayrıcalık ilkesini uygulayın ve çok faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
- Profil düzenleme API'sine yapılan olağandışı istekleri ve zaman dilimi değişikliklerini günlük kayıtlarından izleyin. Genel öneri
- AzuraCast'i ve barındırdığı sunucuyu, uygulamanın root yetkisiyle çalışmasını engelleyecek şekilde yapılandırmayı gözden geçirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| AzuraCast | ≤ 0.23.8 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.