TÜBİTAK BİLGEM'in İmzager uygulamasında iki açık kapatıldı

Siber Güvenlik Başkanlığı, 4 Kasım’da yayımladığı TR-26-1456 numaralı bildirimde, TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü’nün geliştirdiği İmzager ürününde güvenlik açıkları tespit edildiğini duyurdu. Başkanlığa göre bu açıklar nedeniyle siber saldırganların saldırı gerçekleştirmesi ihtimal dahilinde. Açıklar CVE-2026-19721 ve CVE-2026-19731 numaralarıyla izleniyor. Ürünün ne işe yaradığı bildirimde ve CVE kayıtlarında belirtilmiyor.

Açıklar

CVE kayıtlarına göre:

• CVE-2026-19721: XML dış varlık referanslarının yeterince kısıtlanmaması (XML external entity, XXE) açığı. Kayıtta CWE sınıfı CWE-611.
• CVE-2026-19731: Bir dosya yolunun izin verilen klasörle yeterince sınırlandırılmaması (path traversal) açığı. Kayıtta CWE sınıfı CWE-22.

İki açığın da CVE kaydındaki CVSS 3.1 puanı 3.3, yani düşük önemde. Puanlamaya göre saldırgan için yerel erişim ve kullanıcı etkileşimi gerekiyor, giriş yapmış olmak gerekmiyor. Açıkların gizliliğe ve erişilebilirliğe etkisi yok, bütünlüğe etkisi düşük. CVE kayıtlarını TR-CERT yayımladı ve iki açığı da bulan kişi olarak Mustafa Anıl Yıldırım gösteriliyor. Kayıtlarda açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

CVE kayıtlarına göre açıklar İmzager’in 2.10.5 ile 2.10.7 öncesi sürümlerini etkiliyor ve 2.10.7’de kapatıldı.

Önerilen önlemler

Siber Güvenlik Başkanlığı, uygulamanın en az 2.10.7 sürümüne ya da sonrasına yükseltilmesini öneriyor.