- Son 7 gün
- CWE-353
CVE-2026-77157
ast-cli otomatik güncellemesinde indirilen dosyalar çalıştırılmadan önce sağlama toplamıyla doğrulanmıyor
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- Checkmarx
ÖzetTürkçe
ast-cli, otomatik güncelleme akışı kapsamında Vorpal ASCA gerçek zamanlı motoru ve SCA Resolver olmak üzere iki yardımcı ikili dosyayı "" adresinden indirir; bu işlem Checkmarx'in "VSCode/JetBrains" eklentileri ve "cx scan sca-realtime" komutu tarafından tetiklenir. Düzeltmeden önce, indirilen arşiv çıkarılmadan ve çalıştırılmadan önce bir sağlama toplamıyla doğrulanmıyordu. Sunulan arşivi değiştirebilen bir saldırgan, indirmede bütünlük kontrolü yapılmadığı için ast-cli'nin çıkarıp çalıştıracağı, saldırgan kontrolündeki bir ikili dosyayı iletebilirdi. Sömürü için "" adresinin ele geçirilmesi ve sunulan arşivin saldırgan kontrolündeki bir ikili dosya içeren arşivle değiştirilmesi gerekir. Sunulan arşiv bu şekilde değiştirilmişse, etkilenen sürümde ASCA'yı (Checkmarx'in VSCode/JetBrains eklentileri üzerinden) veya "cx scan sca-realtime" komutunu çalıştıran her geliştirici makinesi ya da CI hattı, amaçlanan indirme yerine bu ikili dosyayı çıkarıp çalıştırmış olurdu. Indirilen dosya artık çıkarılmadan önce yayımlanmış bir SHA-256 sağlama toplamına karşı doğrulanmaktadır.
Kaynaktaki açıklama (İngilizce)
ast-cli downloads two helper binaries, the Vorpal ASCA real-time engine and the SCA Resolver, from "download.checkmarx.com" as part of its auto-update flow, triggered by the Checkmarx’s "VSCode/JetBrains" extensions and by cx scan "sca-realtime".
Prior to the fix, the downloaded archive was not verified against a checksum before extraction and execution. An attacker able to substitute the served archive could deliver an arbitrary binary that ast-cli would extract and execute the contents of the archive, since no integrity check was performed on the download.
Successful exploitation requires compromising "download.checkmarx.com" and replacing the served archive with one containing an attacker-controlled binary. If the served archive had been replaced that way, any developer machine or CI pipeline invoking ASCA (via Checkmarx's VSCode/JetBrains extensions) or cx scan "sca-realtime" on an affected version would have extracted and executed that binary in place of the intended download.
The download is now verified against a published SHA-256 checksum before extraction.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| github.com/checkmarx/ast-cli | ≤ 2.3.59 | – |
| 2.3.60 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.