- CWE-295
CVE-2026-87866
curl (wolfSSL ile derlenmiş) genel anahtar sabitleme (pinning) doğrulamasının atlatılması
- Yayımlandı
- Güncellendi
- 29 Eki 2026
- Açık yaşı
- 13 gün
- Kaydı açan
- curl
Yönetici özeti
Bu açık, veri alışverişinin güvenli olduğundan emin olmak için kullanılan bir koruma mekanizmasını atlatabilmektedir. Etkilenen yazılım kullanan sistemlerde müşteri veya çalışan bilgilerinin ele geçirilme riski vardır. Resmi bir düzeltme henüz bildirilmediği için bu konunun öncelikli olarak takip edilmesi önerilir.
ÖzetTürkçe
wolfSSL ile derlenmiş curl, TLS el sıkışması sırasında sabitlenmiş (pinned) genel anahtarın karşı tarafta bulunmayan bir anahtarla eşleşmesine izin verebilmektedir. Sebep, sertifikanın curl tarafından ikinci kez ayrıştırılması sırasında değiştirilmiş bir geçerlilik süresi alanının farklı bir gömülü anahtarın seçilmesine yol açmasıdır. Etkilenen sürümler, veri setinde listelenen wolfSSL ile derlenmiş curl sürümleridir.
Saldırgan ne yapabilir?
Saldırgan, sabitleme korumasını atlatarak bağlantının güvenilen sunucuya ait olduğu yanılgısını yaratabilir ve iletişimi okuyabilir veya değiştirebilir. Bu durum gizlilik ve bütünlük açısından yüksek etki doğurur.
Kaynaktaki açıklama (İngilizce)
When built with wolfSSL, curl can successfully validate a pinned public key
hash against a key the TLS peer does not possess. During the TLS handshake,
wolfSSL validates the connection, but curl's subsequent re-parsing of the same
certificate - tricked by a manipulated validity length field - extracts and
matches a different embedded key, incorrectly authorizing the pinned public
key.
Ne yapmalı?
- Veri setinde resmi bir düzeltilmiş sürüm veya satıcı çözümü belirtilmemiştir. Bu nedenle sisteminizde kullanılan curl sürümünün listelenen etkilenen sürümlerden biri olup olmadığını kontrol edin. Genel öneri
- curl'ün wolfSSL ile derlenip derlenmediğini doğrulayın. Eğer öyleyse, bu derlemeyi kullanan uygulamalarda geçici olarak farklı bir TLS kütüphanesiyle derlenmiş bir curl kullanmayı değerlendirin. Genel öneri
- Genel anahtar sabitlemeyi tek güvenlik katmanı olarak kullanan uygulamalarda, sertifika doğrulamasını ek kontrollerle destekleyin. Genel öneri
- Yazılım satıcısının ve curl projesinin duyurularını takip edin ve düzeltilmiş bir sürüm yayımlandığında hemen güncelleyin. Genel öneri
Ek önlemler
- Sabitleme kullanan kritik bağlantılarda beklenmeyen sertifika veya anahtar değişikliklerini izleyin ve bu olayları araştırın. Genel öneri
- Hassas veri taşıyan uygulamaların TLS bağlantılarını, bağlantı hatalarını ve olağan dışı sunucu yanıtlarını kaydedecek şekilde yapılandırın. Genel öneri
- Envanterinizde curl kullanan tüm sistemleri ve uygulamaları belirleyerek hangilerinin etkilendiğini önceliklendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| curl | ≥ 8.22.0, ≤ 8.22.0 | – |
| ≥ 8.21.0, ≤ 8.21.0 | – | |
| ≥ 8.20.0, ≤ 8.20.0 | – | |
| ≥ 8.19.0, ≤ 8.19.0 | – | |
| ≥ 8.18.0, ≤ 8.18.0 | – | |
| ≥ 8.17.0, ≤ 8.17.0 | – | |
| ≥ 8.16.0, ≤ 8.16.0 | – | |
| ≥ 8.15.0, ≤ 8.15.0 | – | |
| ≥ 8.14.1, ≤ 8.14.1 | – | |
| ≥ 8.14.0, ≤ 8.14.0 | – | |
| ≥ 8.13.0, ≤ 8.13.0 | – | |
| ≥ 8.12.1, ≤ 8.12.1 | – |
ve 88 satır daha
Kaynaklar5 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 9.1
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.