Azure Kubernetes Configuration Service'te kimlik doğrulama eksikliği nedeniyle yetki yükseltme

ÖzetTürkçe

Azure Kubernetes Configuration Service bileşenindeki kritik bir işlev için kimlik doğrulama kontrolü bulunmamaktadır (CWE-306). Bu eksiklik, ağ üzerinden erişebilen kimliği doğrulanmamış bir saldırganın yetkilerini yükseltmesine olanak tanır. Etkilenen ürün Microsoft Azure Kubernetes Configuration Service'tir.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması yapmadan ağ üzerinden yetki yükseltebilir; bu da sistemin gizliliğinin, bütünlüğünün ve kullanılabilirliğinin tamamen ele geçirilmesine yol açabilir.

Ne yapmalı?

1. Microsoft'un yayımladığı güvenlik güncellemesini (yama) etkilenen Azure Kubernetes Configuration Service ortamlarına hemen uygulayın. Güncelleme bilgilerine Microsoft Güvenlik Yanıt Merkezi (MSRC) üzerinden ulaşılabilir. Genel öneri
2. Güncelleme tamamlanana kadar hizmetin ağ üzerinden erişilebilir olduğu uç noktaları ağ erişim kontrolleriyle kısıtlayın ve yalnızca güvenilen kaynaklara izin verin. Genel öneri
3. Güncelleme sonrasında yetkisiz yapılandırma değişikliği, beklenmeyen yönetici hesabı veya olağandışı küme etkinliği olup olmadığını denetim kayıtlarından inceleyin. Genel öneri

Ek önlemler

• Kubernetes yapılandırma hizmetine erişimi yalnızca gerekli ağ segmentleriyle sınırlandırın. Genel öneri
• Kritik işlemler için kimlik doğrulama ve yetkilendirme loglarını izleyip anormal istekler için uyarı kuralları tanımlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• msrc.microsoft.com/update-guide/vulnerability/CVE-2026-83938 Yama

Kayıt geçmişi

1. 23 Eki 2026 00:44Yayımlandı

İlgili açıklar

• 9,8 CVE-2026-103409Session Smart Router: An attacker obtains administrative privileges when an unauthenticated internal endpoint is accessed
• 9,4 CVE-2026-112197Missing Authentication for Critical Function in Tactis' NoviGest Desktop App
• 5,3 CVE-2026-102816TP-Link RE305 v3 kimlik doğrulamasız kablosuz bölge (ülke) yapılandırma zafiyeti
• 8,7 CVE-2026-90465WatchGuard Fireware OS'te FireCluster Sync'te kimlik doğrulama eksikliği nedeniyle yetki yükseltme
• 6,0 CVE-2026-104381WatchGuard Fireware OS'ta FireCluster durum senkronizasyonunda kimlik doğrulama eksikliği
• 9,2 CVE-2026-93865WatchGuard Fireware OS FireCluster senkronizasyon servisinde kimlik doğrulama eksikliği