Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • CWE-200

CVE-2026-94265

curl: Yönlendirmede Negotiate yetkilendirme bilgisinin yabancı sunucuya gönderilmesi

curl

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
12 gün
Kaydı açan
curl

Yönetici özeti

Bu güvenlik açığı, kurumsal kimlik doğrulama bilgilerinin istenmeyen üçüncü taraflara sızmasına yol açabilir. Kimlik bilgilerinin ele geçirilmesi hesapların kötüye kullanılmasına ve veri erişimi riskinin artmasına neden olabilir. Kullanılan curl sürümlerinin hızla tespit edilip güncellenmesi önerilir.

ÖzetTürkçe

curl, HTTP yönlendirmesini kullanıcı bilgisi (kullanıcı adı:parola) içeren bir adrese işlerken, orijinal sunucuya ait HTTP Negotiate kimlik doğrulama durumunu yanlışlıkla koruyup yeniden gönderebilir. Kötü niyetli bir sunucu bu durumu tetikleyerek, istemci sürecinin mevcut kimliğiyle üretilen yeni bir Kerberos biletinin güvenilmeyen bir üçüncü taraf sunucuya gönderilmesine neden olabilir. Bu durum, seçeneği kullanılmadığında geçerli olan alan adı kısıtlamasını etkisiz kılar. Etkilenen sürümler 8.21.0 ve 8.22.0'dır.

Saldırgan ne yapabilir?

Saldırgan, kullanıcının kimlik bilgisi niteliğindeki Kerberos biletini ele geçirebilir ve bu bilgiyle kullanıcı adına başka sistemlere yetkisiz erişim sağlayabilir.

Kaynaktaki açıklama (İngilizce)

When processing an HTTP redirect to a URL containing userinfo (a
username:password component), curl might erroneously retain and re-transmit
the original host's HTTP Negotiate authentication state. Consequently, a
malicious server can trigger a redirect containing arbitrary userinfo to force
curl to send a freshly minted Kerberos ticket—generated using the ambient
identity of the client process to an untrusted third-party host, effectively
bypassing the domain-scoping restrictions normally enforced by the absence of
--location-trusted.

Ne yapmalı?

  1. Veri setinde düzeltilmiş sürüm bilgisi bulunmuyor. Sistemlerinizde 8.21.0 veya 8.22.0 sürümünün kullanılıp kullanılmadığını kontrol edin ve curl'ün resmi duyurularını takip ederek düzeltilmiş sürümün yayımlanmasını bekleyin. Genel öneri
  2. Düzeltilmiş sürüm yayımlandığında, etkilenen curl sürümlerini en kısa sürede güncelleyin. Genel öneri
  3. Düzeltme uygulanana kadar, curl ile Negotiate (Kerberos) kimlik doğrulaması kullanılan işlemleri güvenilmeyen sunucularla çalışmayacak şekilde sınırlandırın. Genel öneri
  4. Güvenilmeyen kaynaklara yapılan isteklerde otomatik yönlendirme takibini devre dışı bırakmayı değerlendirin. Genel öneri

Ek önlemler

  • Kerberos bilet kullanımını ve beklenmeyen kimlik doğrulama isteklerini izlemek için ilgili sistemlerin günlüklerini düzenli olarak inceleyin. Genel öneri
  • Betik ve otomasyonlarda curl'ün kimlik doğrulama içeren isteklerini gözden geçirin ve gereksiz kimlik bilgisi kullanımını kaldırın. Genel öneri
  • Kullanıcı kimlik bilgilerinin yetkisiz kullanımına karşı ek doğrulama ve erişim kısıtlamalarını uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
curl ≥ 8.22.0, ≤ 8.22.0 –
≥ 8.21.0, ≤ 8.21.0 –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: – → 9.1
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.