- Yama var
- Son 7 gün
- CWE-288
CVE-2026-77799
ManageEngine Key Manager Plus iki faktörlü kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Zohocorp
Yönetici özeti
Bu açık, şirketin kriptografik anahtar ve parola bilgilerini yöneten bir sistemde, ek güvenlik katmanını devre dışı bırakabilir. Çalınmış ya da sızdırılmış bir parola olması durumunda hesap ele geçirilebilir ve bu da veri ihlali riskini artırır. Yazılım güncellemesi öncelikli olarak planlanmalıdır.
ÖzetTürkçe
ManageEngine Key Manager Plus uygulamasında, iki faktörlü kimlik doğrulamanın (2FA) atlatılmasına izin veren bir zafiyet bulunmaktadır. Açıklamada 7150 öncesi sürümler etkilenen olarak belirtilirken, etkilenen ürün verisinde 7151 öncesi sürümler yer almaktadır. Geçerli kullanıcı bilgilerine sahip bir saldırgan doğrulama kodu olmadan oturum açabilir.
Saldırgan ne yapabilir?
Geçerli kullanıcı adı ve parolaya sahip bir saldırgan ikinci doğrulama adımını atlayarak yönetim hesabına erişebilir. Bu da saklanan anahtar ve kimlik bilgilerinin görüntülenmesine veya değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
ManageEngine Key Manager Plus versions before 7150 are vulnerable to a Two-Factor Authentication bypass that allows attackers with valid credentials to log in without a verification code.
Ne yapmalı?
- Key Manager Plus uygulamasını 7151 veya daha yeni bir sürüme yükseltin. Açıklamadaki sürüm bilgisi ile veri alanındaki sürüm bilgisi farklı olduğundan, güvenli tarafta kalmak için 7151 ve üzeri sürüme geçilmesi önerilir. Üretici
- Güncelleme yapılana kadar yönetim arayüzüne erişimi yalnızca güvenilir ağ adresleriyle sınırlandırın. Genel öneri
- Yönetici dahil tüm hesaplar için parolaları değiştirin ve mümkünse güçlü, benzersiz parolalar kullanın. Genel öneri
- Son dönemdeki oturum açma kayıtlarını inceleyerek beklenmeyen veya olağan dışı girişleri tespit edin. Şüpheli bir giriş varsa ilgili hesabın parolasını sıfırlayın ve oturumları sonlandırın. Genel öneri
Ek önlemler
- Yönetim arayüzüne erişimi VPN veya benzeri bir ağ katmanı üzerinden sınırlandırın ve internete doğrudan açmaktan kaçının. Genel öneri
- Oturum açma olaylarını merkezi bir günlük sistemine aktarın ve olağan dışı erişim denemeleri için uyarı kuralları tanımlayın. Genel öneri
- Yönetici hesaplarında en az ayrıcalık ilkesini uygulayın ve gereksiz hesapları kapatın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zohocorp Manageengine Key Manager Plus | < 7151 | 7151 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.