Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • CWE-322

CVE-2026-94140

Rex (Perl) rsync transferlerinde SSH sunucu anahtarı doğrulamasının devre dışı kalması

Rex

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
11 gün
Kaydı açan
CPANSec

Yönetici özeti

Bu açık, Rex aracının uzak sunucularla dosya senkronizasyonu yaparken sunucunun kimliğini doğrulamamasına yol açıyor. Saldırgan trafiği yönlendirirse parolalar ve veriler ele geçirilebilir, bu da veri sızıntısı ve sistem bütünlüğü riski anlamına gelir. Resmi bir düzeltme henüz yayımlanmadığı için kullanılan sistemlerin ivedilikle değerlendirilmesi önerilir.

ÖzetTürkçe

Rex, uzak sunuculara rsync ile dosya aktarırken SSH sunucu anahtarını doğrulamıyor; sync işlevi StrictHostKeyChecking=no seçeneğini sabit olarak kullanıyor. Bu nedenle bilinmeyen bir sunucu anahtarı kabul ediliyor ve set_openssh_opt ile yapılan ayarlar bu komuta uygulanmıyor. Etkilenen sürümler 1.16.1 dahil ve öncesidir.

Saldırgan ne yapabilir?

Saldırgan bağlantıyı yönlendirebilirse parola doğrulamasında bağlantı parolasını ele geçirebilir, yükleme sırasında seçilen yerel dosyaları kendi sunucusuna yazdırabilir veya indirme sırasında yerel hedefe kendi içeriğini yazabilir.

Kaynaktaki açıklama (İngilizce)

Rex versions through 1.16.1 for Perl accept an unknown SSH host key for remote rsync transfers because sync hardcodes StrictHostKeyChecking=no.

Every remote branch of sync builds its ssh command with that option, for password authentication, for private-key authentication and for the fallback. The ssh options a caller sets through set_openssh_opt reach the OpenSSH transport but not this command, so there is no configuration that restores host key checking for the transfer.

An attacker who can redirect the connection before the real host key is known presents their own and the transfer proceeds: under password authentication sync sends the connection password to that server, an upload writes the selected local files to it, and a download writes what it returns to the local destination.

Üreticinin çözüm notu (İngilizce)

No fixed CPAN release is currently available.

Ne yapmalı?

  1. Satıcının önerisine göre resmi bir CPAN sürümü henüz yayımlanmadığını dikkate alın; düzeltilmiş sürüm çıktığında Rex'i hemen güncelleyin. Üretici
  2. Düzeltme çıkana kadar Rex ile yapılan uzak rsync transferlerini durdurun veya yalnızca ağ bağlantısının güvenilir olduğu ortamlarda kullanın. Genel öneri
  3. Parola tabanlı kimlik doğrulamayı kullanan transferleri, anahtar tabanlı kimlik doğrulamaya geçirmeyi değerlendirin ve bu mümkün olana kadar parola kullanımını sınırlandırın. Genel öneri
  4. Uzak sunucuların SSH anahtar parmak izlerini bağımsız bir kanaldan doğrulayın ve beklenmeyen anahtar değişikliklerini izleyin. Genel öneri

Ek önlemler

  • Rex sürümünüzü ve bağımlılıklarını envanterinize ekleyerek bu aracın hangi sunucularda kullanıldığını belirleyin. Genel öneri
  • Yönetim ağındaki trafiği ağ segmentasyonu ve güvenli yönlendirme ile koruyarak ortadaki adam saldırısı riskini azaltın. Genel öneri
  • Transfer sonrası hedef dizinlerdeki beklenmeyen dosya değişikliklerini ve olağandışı SSH bağlantılarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Rex ≤ 1.16.1 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: – → 9.1
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.