Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-201

CVE-2026-123551

OpenAM'de bildirim WebSocket'i üzerinden oturum belirteçlerinin ifşası

OpenIdentityPlatform OpenAM

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
8 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu zafiyet, kimlik doğrulama sisteminizdeki kullanıcı ve yönetici oturumlarının kimliği kanıtlanmamış dış saldırganlar tarafından ele geçirilmesine izin verebilir. Bu, veri ihlali ve yetkisiz erişim riskini doğrudan artırır. Etkilenen sürümler kullanılıyorsa güncelleme acil olarak planlanmalıdır.

ÖzetTürkçe

OpenAM 14.0.0 ile 16.1.4 öncesi sürümlerinde, kimlik doğrulaması yapılmamış saldırganların bildirim WebSocket'i üzerinden canlı oturum belirteçlerini okuyabildiği bir bilgi ifşası zafiyeti bulunmaktadır. Zafiyet, eski Liberty ID-FF uç noktalarındaki doğrulanmamış dahili yönlendirme nedeniyle yalnızca ajanlara özgü kontrolün atlatılmasına olanak tanır. Etkilenen sistemler bu sürümler arasındaki OpenAM kurulumlarıdır.

Saldırgan ne yapabilir?

Saldırgan, iPlanetDirectoryPro oturum belirteçlerini ele geçirerek kullanıcı ve yönetici oturumlarını devralabilir. Yönetici oturumunun ele geçirilmesi kimlik doğrulama altyapısının tamamen kontrol altına alınmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

OpenAM from 14.0.0 before 16.1.4 contains an information disclosure vulnerability that allows unauthenticated attackers to read live session tokens from the notification WebSocket. Attackers can bypass the agent-only check through an unvalidated internal forward on legacy Liberty ID-FF endpoints, collecting iPlanetDirectoryPro tokens to hijack user and administrator sessions.

Ne yapmalı?

  1. OpenAM'i 16.1.4 veya sonraki bir sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar eski Liberty ID-FF uç noktalarına dış ağlardan erişimi engelleyin. Genel öneri
  3. Yükseltmeden sonra açık oturumları gözden geçirin ve şüpheli oturumları sonlandırın; gerekirse yönetici ve kullanıcı parolalarını yenileyin. Genel öneri

Ek önlemler

  • Kimlik doğrulama sunucusunun erişim ve oturum açma kayıtlarını olağandışı etkinlik açısından izleyin. Genel öneri
  • Kullanılmayan eski kimlik federasyon uç noktalarını devre dışı bırakın. Genel öneri
  • Yönetici hesapları için ek doğrulama katmanları ve ayrıcalıklı erişim ayrımı uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
OpenIdentityPlatform OpenAM ≥ 14.0.0, < 16.1.4 16.1.4
16.1.4 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.