TÜBİTAK BİLGEM'in eta-register uygulamasında yetki yükseltme açığı kapatıldı

Siber Güvenlik Başkanlığı, 2 Kasım’da yayımladığı TR-26-1440 numaralı bildirimde, TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü’nün geliştirdiği eta-register ürününde bir güvenlik açığı tespit edildiğini duyurdu. Başkanlığa göre açık nedeniyle siber saldırganların bu açığı kullanarak saldırı gerçekleştirmesi ihtimal dahilinde. Açık CVE-2026-92886 numarasıyla izleniyor. Ürünün ne işe yaradığı bildirimde ve CVE kaydında belirtilmiyor.

Açığın kaynağı

CVE kaydının başlığına göre açık, Polkit yapılandırmasındaki bir hata nedeniyle yerel yetki yükseltmeye yol açıyor. Kayıtta açık, eksik yetkilendirme (missing authorization) türünde bir açık olarak sınıflandırılıyor. Kayıttaki CVSS 3.1 puanı 7.8. Puanlamaya göre saldırgan için yerel erişim ve düşük yetkili bir hesap gerekiyor, kullanıcı etkileşimi gerekmiyor ve açık gizlilik, bütünlük ve erişilebilirliği yüksek düzeyde etkileyebiliyor. CVE kaydını TR-CERT yayımladı ve açığı bulan kişi olarak Burak Korkmaz gösteriliyor. Kayıtta açığın saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

CVE kaydına göre açık, eta-register’ın 2.0.8 sürümünü etkiliyor ve 2.0.9’da kapatıldı.

Önerilen önlemler

Siber Güvenlik Başkanlığı, uygulamanın en az 2.0.9 sürümüne ya da sonrasına yükseltilmesini öneriyor.