- Yama var
- Son 7 gün
- CWE-200
- CWE-306
- CWE-522
- CWE-552
CVE-2026-61730
SOCFortress CoPilot: Kimlik doğrulamasız rapor ve GCP servis hesabı anahtarı ifşası
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, bulut hesaplarınıza ait gizli erişim anahtarlarının ve güvenlik raporlarının internet üzerinden herkese açık hale gelmesine yol açabilir. Saldırganlar bu bilgilerle bulut ortamınızda yetkisiz işlem yapabilir ve veri kaybı ya da hizmet kesintisi riskini artırabilir. Bu nedenle etkilenen sistemlerin hemen güncellenmesi ve mevcut anahtarların değiştirilmesi önerilir.
ÖzetTürkçe
SOCFortress CoPilot'un etkilenen sürümlerinde, ScoutSuite raporlarını barındıran dizin kimlik doğrulaması olmadan web üzerinden erişilebilir durumdadır. Bu dizinde AWS, Azure ve GCP kimlik bilgilerine ait IAM bilgileri, kaynak envanteri ve yapılandırma hataları gibi hassas veriler bulunur. Bir GCP taraması sırasında yüklenen Google servis hesabı JSON anahtarı da taramanın bitmesine kadar aynı dizine kaydedilerek anonim erişime açık kalır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması yapmadan bulut güvenlik raporlarını okuyabilir ve tarama sırasında GCP servis hesabı anahtarını ele geçirip bu hesabın bulut yetkileriyle işlem yapabilir.
Kaynaktaki açıklama (İngilizce)
SOCFortress CoPilot focuses on providing a single pane of glass for all your security operations needs. In affected deployments, the unauthenticated /scoutsuite-report StaticFiles mount in backend/copilot.py exposes the scoutsuite-report directory even though normal /api routes require JWT authentication. Generated HTML reports and scoutsuite-results/scoutsuite_results_<name>.js files disclose AWS, Azure and GCP IAM principals, resource inventories, misconfigurations and findings. Report names derive from caller-selected names with predictable defaults. During an admin- or analyst-initiated GCP scan, backend/app/integrations/scoutsuite/routes/scoutsuite.py saves the uploaded Google service-account JSON key into that same web-served directory. In backend/app/integrations/scoutsuite/services/scoutsuite.py, generate_gcp_report_background removes the key only after the scan finishes. Any anonymous client that can reach the host and request the file path can therefore retrieve the private key during the scan and use the service account's cloud permissions, as well as read retained cloud-security reports. Credential isolation is released in version 0.1.77; a release fully remediating the report-disclosure component has not been established.
Ne yapmalı?
- SOCFortress CoPilot'u 0.1.77 veya sonraki bir sürüme yükseltin; bu sürüm kimlik bilgisi izolasyonunu sağlamaktadır. Üretici
- Daha önce yüklenmiş olabilecek GCP servis hesabı anahtarlarını Google Cloud tarafında iptal edip yeniden oluşturun ve eski anahtarların kullanımını inceleyin. Genel öneri
- Rapor dizinine anonim erişimi engelleyen bir kısıtlama uygulayın veya bu dizini web sunucusundan çıkarın; rapor sürümünün tam olarak düzeltilmediği bildirildiği için bu adım gereklidir. Genel öneri
- Mevcut ScoutSuite raporlarını ve sunucudaki eski tarama çıktılarını silin ve erişim günlüklerini, bu dizinlere yönelik istekler açısından inceleyin. Genel öneri
Ek önlemler
- Bulut hesaplarında servis hesaplarına en az yetki prensibini uygulayın ve gereksiz yetkileri kaldırın. Genel öneri
- Güvenlik aracı arayüzlerini ve rapor dizinlerini internete doğrudan açmayın; erişimi VPN veya kimlik doğrulamalı bir ters vekil arkasında tutun. Genel öneri
- Yetkisiz dizin erişimlerini izlemek için web sunucusu günlüklerine uyarı kuralları ekleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| socfortress CoPilot | < 0.1.77 | 0.1.77 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.