Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • CWE-488

CVE-2026-86411

curl: FTP bağlantı yeniden kullanımında istemci sertifikası kimliğinin devralınması

curl

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
29 Eki 2026
Açık yaşı
12 gün
Kaydı açan
curl

Yönetici özeti

Bu açık, bir yazılım bileşeninin kimlik doğrulamasını başka bir işleme yanlışlıkla aktarmasından kaynaklanıyor ve sunucu verilerine yetkisiz erişime yol açabilir. Kritik seviyede derecelendirildiği için FTP ile dosya aktarımı yapan sistemlerin hızla gözden geçirilmesi gerekir. Kesin çözüm bilgisi bu kayıtta yer almadığından, etkilenen sistemler için geçici önlemler ve üreticinin düzeltme duyurusunun takibi önerilir.

ÖzetTürkçe

curl'ün FTP aktarımlarında, önceki bir işlemde STARTTLS ile yükseltilip istemci sertifikasıyla kimlik doğrulaması yapılmış bir FTP kontrol bağlantısının, sonraki bir işlem tarafından yeniden kullanılabildiği belirtiliyor. Bu durumda ikinci işlem yeni bir TLS el sıkışması ya da yeni FTP girişi yapmadan çalışır ve sunucu bu işlemi ilk işlemin sertifika kimliğiyle yetkilendirir. Veri kaynağında etkilenen sürüm olarak yalnızca 8.21.0 belirtilmiştir.

Saldırgan ne yapabilir?

Saldırgan, yetkisi olmayan bir FTP işlemini, meşru bir kullanıcının sertifika kimliğiyle sunucuda çalıştırabilir; bu da dosyalara yetkisiz erişim, okuma ve değiştirme anlamına gelebilir.

Kaynaktaki açıklama (İngilizce)

An ftp:// transfer configured with CURLUSESSL_NONE can reuse a pooled FTP
control connection that a previous easy handle upgraded with STARTTLS and
authenticated using a client certificate. The second handle performs neither a
new TLS handshake nor a new FTP login, so the server continues to authorize it
under the first handle's certificate identity.

Ne yapmalı?

  1. Bu kayıtta düzeltilmiş bir sürüm belirtilmemiştir. curl'ü 8.21.0 sürümünde kullanan sistemleri tespit edin ve curl projesinin yayımladığı, bu sorunu gideren bir sonraki sürüme geçiş için resmi duyuruları takip edin. Genel öneri
  2. Bu sorunu etkileyebilecek ortamlarda, FTP aktarımlarında CURLUSESSL_NONE ile STARTTLS kullanan işlemlerin aynı süreçte karışık olarak çalışmasını geçici olarak sınırlandırın. Genel öneri
  3. Farklı kimlik bilgileriyle yapılan FTP işlemlerini ayrı süreçlerde çalıştırarak bağlantı havuzunun işlemler arasında paylaşılmasını önleyin. Genel öneri
  4. Sunucu tarafında, istemci sertifikası kimliğine bağlı yetkileri gözden geçirin ve gereksiz erişim izinlerini kaldırın. Genel öneri

Ek önlemler

  • FTP sunucu erişim günlüklerini inceleyerek beklenmeyen kimlik kullanımı veya olağandışı dosya işlemleri olup olmadığını kontrol edin. Genel öneri
  • Mümkün olduğunda FTP yerine güvenli aktarım protokollerini tercih edin ve kullanılmayan FTP hizmetlerini kapatın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
curl ≥ 8.21.0, ≤ 8.21.0 –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: – → 9.1
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.