- Son 7 gün
- CWE-943
CVE-2026-63489
Yeti platformunda arama sıralama ve filtre alanlarında AQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, sisteme giriş yapmış düşük yetkili bir kullanıcının veritabanı sorgularını manipüle etmesine olanak tanır. Hassas kullanıcı bilgilerine erişim ve hizmet kesintisi riski taşıdığı için kurumunuzun bu platformu dikkatle izlemesi gerekir. Şu anda kesin bir yama bulunmadığından önlem almak aciliyet taşır.
ÖzetTürkçe
Yeti, CTI ve DFIR uygulayıcılarına yönelik bir adli bilişim istihbarat platformudur. 2.5.0 ve önceki sürümlerde, kullanıcı kontrollü sıralama alanları ve filter_aliases öznitelik yolları doğrulanmadan ArangoDB AQL sorgusuna eklenmektedir. Düşük yetkili kimlik doğrulaması yapılmış bir kullanıcı, arama uç noktalarına hazırlanmış değerler göndererek bu ifadelerin çalıştırılmasını sağlayabilir.
Saldırgan ne yapabilir?
Saldırgan hata mesajlarından veritabanı hakkında bilgi toplayabilir, iç koleksiyonlara (örneğin kullanıcı verilerine) erişen ifadeler çalıştırabilir, arama mantığını değiştirebilir ve veritabanı kaynaklarını aşırı tüketerek hizmeti yavaşlatabilir.
Kaynaktaki açıklama (İngilizce)
Yeti bridges the gap between CTI and DFIR practitioners by providing a Forensics Intelligence platform and pipeline. In version 2.5.0 and earlier, YETI directly interpolates user-controlled sorting fields and filter_aliases attribute paths into ArangoDB AQL identifier and expression positions in core/database_arango.py. A low-privileged authenticated user can send crafted values to POST /api/v2/observables/search, POST /api/v2/entities/search, POST /api/v2/indicators/search, POST /api/v2/dfiq/search, POST /api/v2/search/, or POST /api/v2/graph/search, causing attacker-controlled AQL subexpressions to be parsed and evaluated. This can provide an error oracle, evaluate expressions against internal collections such as users, alter intended search logic, enumerate schema information, and consume excessive database resources. The verified injection points are read and search contexts, so arbitrary database writes are not established. No fixed version is available as of this review.
Ne yapmalı?
- Üreticinin bildirdiği düzeltilmiş bir sürüm henüz mevcut değil; bu nedenle güncel sürüm takibine devam edilmelidir. Genel öneri
- Yeti örneğine erişimi yalnızca güvenilir kullanıcılarla sınırlandırın ve gereksiz hesapların kullanımını kapatın. Genel öneri
- Arama uç noktalarına (observables, entities, indicators, dfiq, search ve graph) yönelik erişimi ağ düzeyinde kısıtlayın veya yalnızca gerekli kullanıcılara açın. Genel öneri
- Yama çıkana kadar platformun veritabanı sorgu günlüklerini ve olağandışı arama isteklerini düzenli olarak inceleyin. Genel öneri
Ek önlemler
- Düşük yetkili kullanıcı hesaplarının oluşturulmasını ve yetkilerini düzenli olarak gözden geçirin. Genel öneri
- Arama isteklerindeki olağandışı sıralama veya filtre parametrelerini izlemek için uygulama günlüklerinde uyarı kuralları oluşturun. Genel öneri
- Veritabanı kullanıcılarının yetkilerini en az ayrıcalık ilkesine göre sınırlandırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| yeti-platform yeti | ≤ 2.5.0 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.