- Yama var
- Son 7 gün
- CWE-1220
CVE-2026-77778
ManageEngine Key Manager Plus'ta yetkilendirme kontrolü eksikliği nedeniyle sertifikaların yetkisiz dışa aktarımı
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Zohocorp
Yönetici özeti
Bu açık, sistemde oturum açabilen herhangi bir kullanıcının diğer kullanıcıların güvenlik sertifikalarına erişmesine olanak tanıyor. Sertifikalar kurumun kimlik ve güvenli iletişim altyapısının önemli parçalarıdır, bu nedenle ihlali ciddi iş riskleri doğurabilir. Sürüm güncellemesinin mümkün olan en kısa sürede uygulanması önerilir.
ÖzetTürkçe
ManageEngine Key Manager Plus uygulamasında, 7150 dahil olmak üzere önceki sürümlerde erişim kontrolü hatası bulunmaktadır. Kimliği doğrulanmış bir kullanıcı, diğer kullanıcılara ait sertifikaları kendi kayıtlı anahtar kasalarına aktarabilmektedir. Etkilenen sürüm aralığı 7151 öncesi sürümleridir.
Saldırgan ne yapabilir?
Saldırgan, kendisine ait olmayan sertifikaları ele geçirebilir; bu da kimlik doğrulama ve şifreleme altyapısının güvenliğini tehlikeye atabilir. Sistemde kimlik doğrulaması yapılmış herhangi bir hesap bu açığı kullanabilir.
Kaynaktaki açıklama (İngilizce)
ZohoCorp ManageEngine Key Manager Plus versions up to 7150 allow authenticated users to export certificates belonging to other users to their own registered key vaults.
Ne yapmalı?
- Key Manager Plus uygulamasını 7151 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme sonrasında kullanıcı yetkilerini ve sertifika erişim izinlerini gözden geçirin. Genel öneri
- Yetkisiz sertifika aktarımı olup olmadığını uygulama kayıtlarından inceleyin; şüpheli durum varsa ilgili sertifikaları yenileyin. Genel öneri
Ek önlemler
- Gereksiz kullanıcı hesaplarını kaldırın ve en az yetki ilkesini uygulayın. Genel öneri
- Sertifika dışa aktarma işlemlerini izleyin ve olağandışı etkinlikler için uyarı oluşturun. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zohocorp Manageengine Key Manager Plus | < 7151 | 7151 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.