Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • CWE-322

CVE-2026-94423

Net::LibSSH (Perl) sunucu anahtarını doğrulamıyor, kimliği belirsiz sunuya bağlanıyor

Net-LibSSH

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
11 gün
Kaydı açan
CPANSec

Yönetici özeti

Bu açık, uzaktan yönetim veya dosya aktarımı için kullanılan bir yazılım bileşeninin sunucu kimliğini doğrulamadan bağlanmasına yol açıyor. Saldırgan bağlantıyı yönlendirirse parolalar ve iş verileri ele geçirilebilir. Etkilenen sistemlerin hızla güncellenmesi önerilir.

ÖzetTürkçe

Perl için Net::LibSSH modülünün 0.004 öncesi sürümleri, connect işlevinde sunucunun anahtarını known_hosts dosyasıyla karşılaştırmıyor. Bağlantı, ssh_connect başarılı döndüğü anda başarılı sayılıyor ve strict_hostkeycheck ile knownhosts ayarları fiilen bir işe yaramıyor. Bu nedenle modülü kullanan tüm uygulamalar etkilenir.

Saldırgan ne yapabilir?

Saldırgan bağlantıyı yönlendirebilirse parola doğrulaması kullanılan oturumlarda parolayı ele geçirebilir; ayrıca oturum üzerinden gönderilen komutları ve verileri okuyup değiştirebilir.

Kaynaktaki açıklama (İngilizce)

Net::LibSSH versions before 0.004 for Perl authenticate to an unverified server because connect never checks the host key against known_hosts.

connect reports success as soon as ssh_connect returns SSH_OK. libssh leaves the known-hosts check to the application, and this binding never makes it, so the strict_hostkeycheck and knownhosts options are set on the session and then decide nothing.

Password, agent and public-key authentication, channel and SFTP operations all run on a session whose peer was never identified, so an attacker who can redirect the connection receives the password when password authentication is used, and commands and data sent over the session.

Üreticinin çözüm notu (İngilizce)

Upgrade to Net-LibSSH 0.004 or later.

Ne yapmalı?

  1. Net-LibSSH modülünü 0.004 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar, bu modülü kullanan uygulamaların güvenilmeyen ağlar üzerinden bağlantı kurmasını engelleyin. Genel öneri
  3. Sunucu anahtarlarını bağımsız bir kanaldan doğrulayın ve beklenmedik anahtar değişikliklerini inceleyin. Genel öneri

Ek önlemler

  • Uygulamalarda kullanılan Perl modül sürümlerini envanterleyin ve bağımlılıkları düzenli olarak güncelleyin. Genel öneri
  • Parola tabanlı kimlik doğrulama yerine anahtar tabanlı kimlik doğrulama kullanmayı değerlendirin, ancak bunu yalnızca sunucu anahtarı doğrulandıktan sonra yapın. Genel öneri
  • SSH bağlantılarında beklenmedik sunucu anahtarı değişikliklerini ve olağandışı yönlendirmeleri izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Net-LibSSH < 0.004 0.004

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: – → 9.1
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.