- Son 7 gün
- CWE-409
CVE-2026-121820
Armeria-saml HTTP-Redirect bağlayıcısında sınırsız açma nedeniyle hizmet reddi
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- LY-Corporation
Yönetici özeti
Bu güvenlik açığı, oturum açma altyapısının çalışmasını durdurarak uygulamalarda kesintiye neden olabilir. Saldırı için sisteme giriş yapılması gerekmediğinden risk yüksektir ve kısa sürede giderilmesi önerilir. Yazılım güncellemesi bu riski büyük ölçüde ortadan kaldırır.
ÖzetTürkçe
Armeria-saml kütüphanesinin 1.43.0 öncesi sürümlerinde, HTTP-Redirect bağlama çözümleyicisi saldırgan tarafından gönderilen SAML mesajlarını imza doğrulamasından önce, çıktı boyutunu sınırlamadan açmaktadır. Kimlik doğrulaması gerekmeyen uzak bir saldırgan bu durumu kullanarak sunucunun belleğini tüketebilir. Etkilenen taraflar, bu sürümleri kullanan ve SAML tabanlı oturum açma işlevi çalıştıran uygulama sahipleridir.
Saldırgan ne yapabilir?
Saldırgan sunucunun belleğini tüketerek uygulamayı kullanılamaz hale getirebilir ve hizmet kesintisine yol açabilir. Bu açıklık üzerinden veri okuma, değiştirme veya kod çalıştırma doğrudan sağlanmaz.
Kaynaktaki açıklama (İngilizce)
A vulnerability has been identified in armeria-saml versions prior to 1.43.0, where the HTTP-Redirect binding decoder decompresses attacker-supplied SAML messages without limiting the output size before signature validation, allowing an unauthenticated remote attacker to exhaust server memory and cause a denial of service.
Ne yapmalı?
- armeria-saml kütüphanesini 1.43.0 veya daha yeni bir sürüme yükseltin. Genel öneri
- Güncelleme hemen yapılamıyorsa, uygulamanın önündeki ters vekil sunucu veya yük dengeleyici üzerinde gelen isteklerin boyutuna ve URL uzunluğuna üst sınır koyun. Genel öneri
Ek önlemler
- SAML uç noktalarına gelen istekleri hız sınırlama (rate limiting) ile kısıtlayın. Genel öneri
- Uygulamanın bellek kullanımı için izleme uyarıları tanımlayın; ani ve kalıcı artışlar saldırı belirtisi olabilir. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| LY Corporation Armeria | ≥ 1.43.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.