- Yama var
- Son 7 gün
- CWE-201
CVE-2026-45049
OpenAM CDSSO servletinde oturum belirteci sızıntısı (oturum ele geçirme)
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, kimlik doğrulama sisteminde kullanıcıların oturum anahtarlarının dışarı sızmasına ve saldırganların kullanıcı hesaplarına yetkisiz erişim sağlamasına yol açabilir. Etkilenen kurulumlarda hesap ele geçirme riski yüksektir; bu nedenle güncellemenin öncelikli olarak yapılması önerilir.
ÖzetTürkçe
OpenAM (Open Access Management) erişim yönetimi çözümünde, 16.1.1 öncesi sürümlerdeki Cross-Domain Single Sign-On (CDSSO) servleti, oturum açmış kullanıcının ham OpenAM oturum belirtecini saldırgan kontrolündeki bir adrese POST ile gönderebilmektedir. Bu sorun, çoklu alan adı yapısı gibi CDSSO'nun etkin olduğu kurulumları etkilemektedir. Ayrıca istismar, varsayılan olmayan bir yapılandırmanın bulunmamasına bağlıdır.
Saldırgan ne yapabilir?
Saldırgan, oturumu açık bir kullanıcıyı hazırlanmış bir bağlantıyı ziyaret etmeye ikna ederek oturum kimlik bilgisini elde edebilir ve bu oturumu ele geçirebilir. Kullanıcı etkileşimi gerektirdiği için saldırı hedefli olarak düzenlenmelidir.
Kaynaktaki açıklama (İngilizce)
Open Access Management (OpenAM) is an access management solution. Prior to 16.1.1, the Cross-Domain Single Sign-On (CDSSO) servlet allows a logged-in user's raw OpenAM session token to be POSTed to an attacker-controlled URL. An attacker who induces an authenticated victim to visit a crafted URL can receive the session credential and potentially hijack the session. Deployments must have CDSSO enabled, as is common in multi-domain deployments, and exploitation is additionally gated on a non-default configuration being absent. This issue is fixed in version 16.1.1.
Ne yapmalı?
- OpenAM'i 16.1.1 veya sonraki düzeltilmiş bir sürüme yükseltin. Üretici
- Çoklu alan adı yapısında CDSSO özelliğine gerek yoksa bu özelliği devre dışı bırakın; yükseltme tamamlanana kadar geçici bir önlem olarak değerlendirin. Genel öneri
- Yükseltme sonrası, CDSSO'nun kullanıldığı kimlik doğrulama akışlarının beklendiği gibi çalıştığını doğrulayın. Genel öneri
Ek önlemler
- Oturum belirteçlerinin beklenmedik alan adlarına gönderilip gönderilmediğini izlemek için web ve uygulama sunucusu erişim günlüklerini inceleyin. Genel öneri
- Kullanıcılara, kimlik doğrulama sayfalarına yönlendiren şüpheli bağlantılara tıklamamaları konusunda eğitim verin. Genel öneri
- Gerekmeyen özellikleri kapatarak kimlik doğrulama altyapısının saldırı yüzeyini küçültün. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| OpenIdentityPlatform OpenAM | < 16.1.1 | 16.1.1 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.