- Yama var
- Son 7 gün
- CWE-269
CVE-2026-123549
OpenAM'de öz kayıt sırasında nitelik denetimi atlanması nedeniyle yetki yükseltme
- Yayımlandı
- Güncellendi
- 8 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kimlik doğrulama altyapınızda kimliği belirsiz kişilerin tam yönetici yetkisi kazanmasına olanak tanır ve bu da tüm bağlı sistemlerin ele geçirilmesi riskini doğurur. Kritik seviyede olduğundan en kısa sürede güncelleme yapılması gerekir.
ÖzetTürkçe
OpenAM'in 16.1.4 öncesi sürümlerinde öz kayıt (self-registration) sırasında izin verilen nitelikler listesi (Valid Creation Attributes) zorunlu kılınmamaktadır. Kimliği doğrulanmamış saldırganlar, grup üyeliği dahil kısıtlı nitelikleri ayarlayarak hesap oluşturabilir. Etkilenen kurulumlar OpenIdentityPlatform OpenAM ürününün 16.1.4'ten önceki sürümleridir.
Saldırgan ne yapabilir?
Saldırgan, eski öz hizmet REST uç noktası veya Kullanıcı Öz Hizmet akışı üzerinden kendini yönetici gruplarına ekleyebilir ve OpenAM üzerinde tam yönetici yetkisi elde edebilir.
Kaynaktaki açıklama (İngilizce)
OpenAM before 16.1.4 fails to enforce the Valid Creation Attributes list during self-registration, allowing anonymous attackers to set restricted attributes including group membership. Attackers can register through the legacy self-service REST endpoint or User Self-Service flow to join administrative groups and gain full administrative control of OpenAM.
Ne yapmalı?
- OpenIdentityPlatform OpenAM ürününü 16.1.4 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme yapılana kadar öz kayıt özelliğini devre dışı bırakın veya öz kayıt uç noktalarına erişimi ağ düzeyinde kısıtlayın. Genel öneri
- Yükseltmeden sonra yönetici gruplarındaki üyelikleri ve son oluşturulan hesapları gözden geçirin; beklenmeyen hesap veya yetki değişikliği varsa inceleyin. Genel öneri
Ek önlemler
- Yönetici gruplarına yapılan üyelik değişikliklerini izleyin ve uyarı üretin. Genel öneri
- Kimlik yönetimi sunucularını internete doğrudan açmak yerine ters vekil veya güvenlik duvarı arkasında tutun. Genel öneri
- Yeni hesap oluşturma olaylarını ve REST uç noktasına gelen istekleri kayıt altına alın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| OpenIdentityPlatform OpenAM | < 16.1.4 | 16.1.4 |
| 16.1.4 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.