- Son 7 gün
- CWE-78
CVE-2026-123025
OPNsense os-acme-client Google Cloud DNS modülünde OS komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu açık, güvenlik duvarı veya sunucu sistemini tamamen ele geçirilebilecek kritik bir risktir. Saldırgan, sertifika yetkisi olan bir hesabı kötüye kullanarak sistemin tam kontrolünü alabilir. Ağ altyapınızda bu eklenti kullanılıyorsa, yetkileri gözden geçirmek ve hızlı önlem almak önemlidir.
ÖzetTürkçe
OPNsense os-acme-client eklentisinin 4.17 sürümüne kadar olan sürümlerinde, Google Cloud DNS doğrulama modülü kullanıcıdan gelen gcloud_account ve gcloud_project alanlarını herhangi bir doğrulama veya kaçış işlemi yapmadan kabuk komutuna ekliyor. Sorun, DnsGcloud::prepare metodunda ortaya çıkıyor ve komut proc_open ile çalıştırılıyor. Sertifika oluşturma veya yenileme yetkisine sahip kimlik doğrulaması yapılmış bir kullanıcı bu açığı kullanabilir.
Saldırgan ne yapabilir?
Yetkili bir kullanıcı, saldırı sırasında yönetici yetkileriyle (root) rastgele komut çalıştırabilir. Bu da güvenlik duvarının tamamen ele geçirilmesi, yapılandırma ve kimlik bilgilerinin çalınması veya değiştirilmesi anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
An OS Command Injection vulnerability was discovered in the Google Cloud DNS validation module of the OPNsense os-acme-client plugin through 4.17. The DnsGcloud::prepare() method decodes the dns_gcloud_key model field and directly interpolates the string fields gcloud_account and gcloud_project into a shell command passed to proc_open() via LeUtils::run_shell_command() without any validation or escaping. A remote authenticated user with privileges to issue or renew certificates through the WebGUI/API can achieve arbitrary code execution as root.
Ne yapmalı?
- Bu CVE için sağlayıcı tarafından yayımlanmış bir düzeltilmiş sürüm bilgisi mevcut değildir. Eklentinin güncel sürümünü ve resmi duyuruları düzenli olarak kontrol edin ve düzeltme yayımlandığında hemen uygulayın. Genel öneri
- Sertifika oluşturma ve yenileme yetkisini yalnızca güvenilir yöneticilerle sınırlandırın ve gereksiz hesapların bu yetkiye sahip olmadığından emin olun. Genel öneri
- Google Cloud DNS doğrulama yöntemini kullanmıyorsanız, bu yöntemi devre dışı bırakın veya ilgili yapılandırmaları kaldırın. Genel öneri
- Google Cloud DNS için kullanılan hesap bilgilerinin ve servis hesabı anahtarlarının yetkisiz erişime maruz kalıp kalmadığını kontrol edin ve şüphe varsa bu anahtarları yenileyin. Genel öneri
Ek önlemler
- Yönetim arayüzüne erişimi yalnızca güvenilir ağlardan ve yetkili kişilerle sınırlayın. Genel öneri
- Eklenti yapılandırmalarındaki Google Cloud hesap ve proje alanlarını beklenmeyen değerler açısından düzenli olarak inceleyin. Genel öneri
- Yönetim arayüzü ve API günlüklerini izleyerek sertifika işlemlerinde olağandışı etkinlik olup olmadığını takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| OPNsense os-acme-client | ≤ 4.17.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.