TÜBİTAK BİLGEM'in eta-remote ve pardus-nvidia-installer ürünlerinde üç açık kapatıldı

Siber Güvenlik Başkanlığı, 10 Kasım’da TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü’nün geliştirdiği iki üründeki açıklar için güvenlik bildirimi yayımladı. TR-26-1498 numaralı bildirim eta-remote ürünündeki iki açığı, TR-26-1500 numaralı bildirim pardus-nvidia-installer ürünündeki bir açığı kapsıyor. Başkanlığa göre açıklar nedeniyle siber saldırganların bu açıkları kullanarak saldırı gerçekleştirmesi ihtimal dahilinde. Ürünlerin ne işe yaradığı bildirimlerde ve CVE kayıtlarında belirtilmiyor. Açıkların CVE kayıtlarını TR-CERT yayımladı.

eta-remote

CVE kaydına göre CVE-2026-121191, eta-remote’ta eksik yetkilendirme (missing authorization) açığı. Kayıtta açık, erişim kontrol listeleriyle düzgün sınırlandırılmayan işlevlere erişime izin veren bir açık olarak tanımlanıyor. Açığın CVSS 3.1 puanı 6.5. Puanlamaya göre saldırganın aynı ağ kesiminde (adjacent) olması gerekiyor, yetki ya da kullanıcı etkileşimi gerekmiyor ve açık gizliliği yüksek düzeyde etkileyebiliyor.

CVE-2026-121267 ise eta-remote’ta hatalı varsayılan izinler (incorrect default permissions) açığı. Bu açığın CVSS 3.1 puanı 7.8. Puanlamaya göre saldırgan için yerel erişim ve düşük yetkili bir hesap gerekiyor, kullanıcı etkileşimi gerekmiyor ve açık gizlilik, bütünlük ve erişilebilirliği yüksek düzeyde etkileyebiliyor.

CVE kayıtlarına göre iki açık da eta-remote’un 0.0.2 sürümünü etkiliyor ve 0.0.3’te kapatıldı. Kayıtlarda açıkları bulan kişi olarak Ahmed Emin Aygoren gösteriliyor. Başkanlık uygulamanın en az 0.0.3 sürümüne ya da sonrasına yükseltilmesini öneriyor.

pardus-nvidia-installer

CVE kaydının başlığına göre CVE-2026-16478, pardus-nvidia-installer’da keyfi paket kurulumuna (arbitrary package installation) izin veren bir açık. Kayıtta açık, izin verilen girdiler listesinin fazla geniş tutulmasından (permissive list of allowed inputs) kaynaklanan ve yetki yükseltmeye yol açan bir açık olarak sınıflandırılıyor. Açığın CVSS 3.1 puanı 7.0. Puanlamaya göre saldırgan için yerel erişim ve düşük yetkili bir hesap gerekiyor, saldırının karmaşıklığı yüksek, kullanıcı etkileşimi gerekmiyor ve açık gizlilik, bütünlük ve erişilebilirliği yüksek düzeyde etkileyebiliyor.

CVE kaydına göre açık 2.0.1 öncesi bütün sürümleri etkiliyor. Kayıtta açığı bulan kişi olarak Namiq Bağırzadə gösteriliyor. Başkanlık uygulamanın en az 2.0.1 sürümüne ya da sonrasına yükseltilmesini öneriyor.

Önceki bildirimler

Başkanlık 9 Kasım’da da altı yerli üründeki açıklar için bildirim yayımlamıştı. TÜBİTAK BİLGEM’in eta-register uygulamasındaki bir yetki yükseltme açığını 2 Kasım’da yazmıştık.

Bildirimlerde ve CVE kayıtlarında açıkların saldırılarda kullanıldığına dair bir bilgi yok. Bu ürünleri kullanan kurumların sürümlerini kontrol edip Başkanlığın önerdiği sürümlere ya da daha yenilerine güncellemesi gerekiyor.