Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-94

CVE-2026-58256

GRR'da LDAP bağlayıcı ayarları üzerinden PHP kodu enjeksiyonu ve uzaktan kod çalıştırma

JeromeDevome GRR

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, uygulamanın yönetici hesabıyla sunucuda kontrolü tamamen ele geçirilebilecek bir risk taşımaktadır. Saldırgan, yönetici yetkisi kazanabilirse sistemin tamamını etkileyebilir. Etkilenen kurumların GRR'yi en kısa sürede 4.5.0 veya üzeri bir sürüme güncellemesi önerilir.

ÖzetTürkçe

GRR, kaynak yönetimi ve rezervasyon uygulamasıdır. 4.5.0 sürümünden önceki sürümlerde, yönetici yetkisine sahip bir kullanıcı LDAP bağlayıcı yapılandırma parametrelerine (örneğin ldap_filter) zararlı PHP kodu enjekte edebilmekte ve bu, personalisation dizinindeki config_ldap.inc.php dosyasını zehirleyerek uzaktan kod çalıştırmaya yol açmaktadır. Saldırganın denetimindeki bir LDAP sunucusuna bağlantı kurulması ve ardından bağlayıcı ayar sayfasına kötü amaçlı girdi gönderilmesi gerekmektedir. Etkilenen sürüm aralığı 4.5.0 öncesidir.

Saldırgan ne yapabilir?

Yetkili bir yönetici hesabı ele geçirildiğinde saldırgan sunucu üzerinde uzaktan kod çalıştırabilir; bu da sistemin tamamen ele geçirilmesi, verilerin okunması veya değiştirilmesi ve hizmetin kesintiye uğratılması anlamına gelebilir.

Kaynaktaki açıklama (İngilizce)

GRR is a resource management and reservation application. Prior to the advisory-reported fixed version 4.5.0, an administrator can inject malicious PHP through LDAP connector configuration parameters such as ldap_filter, poisoning /personnalisation/config_ldap.inc.php and permitting remote code execution. The administrator must first successfully connect to an LDAP server, which can be attacker-controlled, and then submit malicious input on the subsequent connector settings page. The advisory reports this issue as fixed in version 4.5.0.

Ne yapmalı?

  1. GRR'yi 4.5.0 veya üzeri bir sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar LDAP bağlayıcı ayarlarını değiştirme yetkisini yalnızca güvenilen yöneticilerle sınırlandırın. Genel öneri
  3. Bağlayıcı ayarlarını değiştirdikten sonra personalisation dizinindeki config_ldap.inc.php dosyasını beklenmeyen PHP kodu açısından inceleyin. Genel öneri

Ek önlemler

  • Yönetici hesaplarında güçlü kimlik doğrulama ve çok faktörlü doğrulama kullanın. Genel öneri
  • Uygulama yapılandırma dosyalarında beklenmeyen değişiklikleri izleyin ve dosya bütünlük kontrolü uygulayın. Genel öneri
  • Yönetici girişlerini ve LDAP bağlantı ayarlarındaki değişiklikleri günlüklerde takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
JeromeDevome GRR < 4.5.0 4.5.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.