- Yama var
- Son 7 gün
- CWE-121
- CWE-862
CVE-2026-78403
Sentinel Keys Server'da kimlik doğrulamasız yığın tabanlı arabellek taşması
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- THA-PSIRT
Yönetici özeti
Bu açık, kimlik doğrulaması gerektirmeden sunucunun tamamen ele geçirilmesine yol açabilir ve yazılım lisanslama altyapınızı etkileyebilir. Etkilenen sunucular hemen güncellenmelidir.
ÖzetTürkçe
Thales Sentinel Keys Server'ın Windows üzerinde çalışan sürümlerinde, HTTP isteğinin ilk alanının uzunluğu kontrol edilmediği için yığın tabanlı bir arabellek taşması bulunmaktadır. Bu açık, yetkilendirme eksikliğiyle birlikte değerlendirilmiştir. 1.3.8.0 öncesi sürümler etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, özel hazırlanmış bir HTTP isteğiyle kimlik doğrulaması yapmadan uzaktan kod çalıştırabilir ve bu kodu NT AUTHORITY\SYSTEM yetkisiyle yürütebilir.
Kaynaktaki açıklama (İngilizce)
Stack-based buffer overflow and missing
authorization vulnerability in Thales Sentinel Keys Server on Windows allows
Overflow Buffers. Sentinel Keys Server does not check the length of the first
field in the HTTP request. An attacker may craft an HTTP request and send it to
Sentinel Keys Server. It may lead to remote code execution as NT
AUTHORITY\SYSTEM.
This issue affects Sentinel Keys Server:
versions lower than 1.3.8.0.
Üreticinin çözüm notu (İngilizce)
Upgrade to latest version.
Ne yapmalı?
- Sentinel Keys Server'ı 1.3.8.0 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme tamamlanana kadar sunucuya erişimi ağ düzeyinde yalnızca güvenilir istemcilerle sınırlandırın. Genel öneri
- Sunucunun HTTP erişim noktalarını internete açık ağlardan kapatın. Genel öneri
Ek önlemler
- Sentinel Keys Server'ın bulunduğu sistemleri beklenmedik HTTP isteklerine ve olağandışı süreç davranışlarına karşı izleyin. Genel öneri
- Sunucuyu ayrı bir ağ segmentinde tutarak olası bir ele geçirilmenin yayılmasını sınırlandırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Thalesgroup Sentinel Keys Server | < 1.3.8.0 | 1.3.8.0 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- supportportal.thalesgroup.com/csm Üretici bülteni
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.