- Yama var
- Son 7 gün
- CWE-269
- CWE-862
- CWE-915
CVE-2026-58255
Cronicle'da yönetici olmayan kullanıcıların olay verisi üzerinden farklı kullanıcı olarak (root dahil) iş çalıştırması
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, sisteminizde görevleri yönetebilen düşük yetkili bir hesabın, yönetici yetkisi gerektiren en üst düzey kullanıcı haklarını elde etmesine olanak tanır. Sunucunun tamamının ele geçirilmesi riski taşıdığından güncellemenin acilen yapılması önerilir.
ÖzetTürkçe
Cronicle, web arayüzü olan çok sunuculu bir görev zamanlayıcı ve çalıştırıcıdır. 0.9.121 öncesi sürümlerde, ve yetkisine sahip yönetici olmayan bir kullanıcı veya kapsamlı API anahtarı, ve uç noktaları üzerinden olay verisine üst düzey ve alanları ekleyebilmektedir. Doğrulama mekanizması bilinmeyen anahtarları sessizce kabul ettiği için bu alanlar olduğu gibi kaydedilmektedir. Kök yetkili daemon ile kurulmuş sistemler etkilenmektedir.
Saldırgan ne yapabilir?
Düşük yetkili bir saldırgan, yalnızca yönetici tarafından kontrol edilmesi gereken kullanıcı değiştirme özelliğini aşarak işleri root dahil herhangi bir kullanıcı olarak çalıştırabilir; bu da sistemin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Cronicle is a multi-server task scheduler and runner, with a web based front-end UI. Prior to 0.9.121, a non-administrator user or scoped API key with create_events and run_events privileges can inject top-level uid and gid fields through /api/app/create_event or /api/app/update_event. In lib/api.js, requireValidEventData uses validateOptionalParams as a partial allow-list that silently passes unknown keys, storing the injected fields verbatim. In lib/job.js, launchJob copies the whole event into the job, and a plugin uid overrides the event uid only when the plugin defines one. The default shellplug and urlplug plugins do not define a uid, so the event-controlled identity survives into child-process launch. On a root-daemon installation, this lets a low-privileged user run jobs as arbitrary users, including root, bypassing the otherwise administrator-only run-as-user control. This API-side event injection is distinct from the job-output uid/gid injection addressed by CVE-2026-39401. This issue is fixed in version 0.9.121.
Ne yapmalı?
- Cronicle'ı 0.9.121 veya daha yeni bir sürüme yükseltin. Üretici
- Güncellemeden önce, yönetici olmayan kullanıcılara ve API anahtarlarına verilen olay oluşturma ve çalıştırma yetkilerini gözden geçirin ve gereksiz olanları kaldırın. Genel öneri
- Mevcut olaylar arasında beklenmeyen uid veya gid değerleri taşıyan kayıtları inceleyin ve şüpheli olanları düzeltin veya silin. Genel öneri
Ek önlemler
- Cronicle'ı kök yetkisiyle çalıştırmaktan kaçının; mümkünse ayrıcalıksız bir servis hesabı kullanın. Genel öneri
- API anahtarlarını düzenli olarak yenileyin ve yalnızca gerekli kapsamları verin. Genel öneri
- Olay oluşturma ve güncelleme isteklerini ve çalıştırılan işlerin hangi kullanıcı olarak başlatıldığını izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| jhuckaby Cronicle | < 0.9.121 | 0.9.121 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.