- CWE-201
CVE-2026-87861
curl: Negotiate bağlantısının farklı origin'ler arasında yeniden kullanılması
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 12 gün
- Kaydı açan
- curl
Yönetici özeti
Bu açık, kurumun istemci yazılımlarının kimlik bilgilerini yanlış hedeflere iletmesine yol açabilir ve veri sızıntısı riskini artırır. Etkilenen sürümler kullanılan sistemlerde bulunuyorsa, güvenlik açısından acil olarak güncelleme yapılması önerilir.
ÖzetTürkçe
curl'de, ortam kimlik bilgileri (ambient credentials) kullanılırken, bir origin'e yönelik HTTP isteği daha önce başka bir origin için Negotiate ile kimlik doğrulaması yapılmış bir bağlantı üzerinden gönderilebilmektedir. Bu durumda isteğin kendi kimlik bilgileri kullanılmadan iletilmektedir. Etkilenen sürümler 8.21.0 ve 8.22.0'dır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması yapılmış bağlantının yanlış origin'e karşı kullanılmasına yol açarak yetkisiz erişim elde edebilir; gizli bilgilerin ifşa edilmesi ve verilerin değiştirilmesi riski doğar.
Kaynaktaki açıklama (İngilizce)
When using ambient user credentials, an HTTP request directed to one origin
may be dispatched over a connection previously authenticated via Negotiate for
a different origin, leaving the request's intended credentials unused.
Ne yapmalı?
- Etkilenen curl sürümlerinden (8.21.0 ve 8.22.0) kullanılan kurulumları, satıcının belirttiği düzeltilmiş sürüme güncelleyin. Düzeltilmiş sürüm bilgisi veri kaynağında yer almadığından, lütfen curl'ün resmi duyurularını kontrol edin. Genel öneri
- Güncelleme yapılamadığı durumda, Negotiate kimlik doğrulaması kullanan istemci ve betiklerin kullanımını geçici olarak sınırlandırın ve gerekmedikçe ortam kimlik bilgilerini kullanmaktan kaçının. Genel öneri
Ek önlemler
- Kurumdaki tüm curl kurulumlarının sürümlerini envanterleyin ve sürüm 8.21.0 ve 8.22.0 olanları öncelikli olarak belirleyin. Genel öneri
- Kimlik doğrulama gerektiren isteklerin beklenmeyen hedeflere gönderilip gönderilmediğini sunucu ve ağ günlüklerinden izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| curl | ≥ 8.22.0, ≤ 8.22.0 | – |
| ≥ 8.21.0, ≤ 8.21.0 | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 9.1
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.