- Yama var
- Son 7 gün
- CWE-304
CVE-2026-77800
ManageEngine Key Manager Plus SAML kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Zohocorp
Yönetici özeti
Bu açık, kurumsal parola ve anahtar yönetim sisteminize yetkisiz girişe izin verebilir. Saldırganın erişimi, kritik kimlik bilgilerinin ele geçirilmesine yol açabileceği için risk yüksektir. Etkilenen sistemlerin en kısa sürede güncellenmesi önerilir.
ÖzetTürkçe
ManageEngine Key Manager Plus uygulamasının 7151 sürümünden önceki sürümlerinde SAML kimlik doğrulama mekanizmasında bir zafiyet bulunmaktadır. Bu açık, saldırganların başka bir servis sağlayıcısına yönelik SAML doğrulama bildirimlerini kullanarak sisteme giriş yapmasına olanak tanır. Etkilenen sürümler, SAML ile kimlik doğrulama kullanan Key Manager Plus kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, geçerli kullanıcı kimlik bilgilerine ihtiyaç duymadan yetkisiz erişim elde edebilir. Bu durum, uygulamada saklanan parola ve anahtar gibi hassas kayıtların görüntülenmesine ya da değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
ManageEngine Key Manager Plus versions before 7151 are vulnerable to a SAML authentication bypass that allows attackers to log in using SAML assertions meant for another service provider.
Ne yapmalı?
- ManageEngine Key Manager Plus uygulamasını 7151 veya üzeri bir sürüme güncelleyin. Üretici
- Güncelleme öncesinde sistemi yetkisiz erişim açısından inceleyin ve şüpheli oturum ya da giriş kayıtlarını kontrol edin. Genel öneri
- Güncelleme tamamlanana kadar uygulamaya erişimi yalnızca güvenilir ağ bölgeleriyle sınırlandırın. Genel öneri
Ek önlemler
- SAML sağlayıcı ve servis sağlayıcı yapılandırmalarınızı gözden geçirerek doğrulama bildirimlerinin yalnızca doğru hedefler için kabul edildiğinden emin olun. Genel öneri
- Beklenmedik SAML tabanlı giriş denemelerini ve yeni oluşturulan yönetici hesaplarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zohocorp Manageengine Key Manager Plus | < 7151 | 7151 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.