TÜBİTAK BİLGEM'in pardus-boot-repair aracında iki dizin geçişi açığı kapatıldı

Siber Güvenlik Başkanlığı, 6 Kasım’da yayımladığı TR-26-1477 numaralı bildirimde, TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü’nün geliştirdiği pardus-boot-repair ürününde güvenlik açıkları tespit edildiğini duyurdu. Başkanlığa göre bu açıklar nedeniyle siber saldırganların saldırı gerçekleştirmesi ihtimal dahilinde. Açıklar CVE-2026-105422 ve CVE-2026-92080 numaralarıyla izleniyor.

Açıklar

CVE kayıtlarına göre iki açık da bir dosya yolunun izin verilen klasörle yeterince sınırlandırılmamasından kaynaklanan dizin geçişi (path traversal) açığı ve CWE sınıfları CWE-22. Kayıtları TR-CERT yayımladı.

• CVE-2026-105422: CVE kaydındaki CVSS 3.1 puanı 6.6, yani orta önemde. Puanlamaya göre saldırganın cihaza fiziksel erişimi olması ve kullanıcı etkileşimi gerekiyor, yetki gerekmiyor. Açığın gizliliğe, bütünlüğe ve erişilebilirliğe etkileri yüksek. Kayıtta açığı bulan kişi olarak Recep Yağmur gösteriliyor.
• CVE-2026-92080: Kaydın başlığına göre bu dizin geçişi açığı, keyfi bir bağlama (arbitrary mount) işlemine yol açıyor. CVE kaydındaki CVSS 3.1 puanı 4.3, yani orta önemde. Puanlamaya göre açık ağ üzerinden ve yetki gerektirmeden, kullanıcı etkileşimiyle kullanılabiliyor. Açığın yalnızca bütünlüğe düşük düzeyde etkisi var. Kayıtta açığı bulan kişi olarak Özcan Ersan gösteriliyor.

CVE kayıtlarında açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

CVE kayıtlarına göre CVE-2026-105422 pardus-boot-repair’in 1.0.9 ile 1.1.0 öncesi sürümlerini, CVE-2026-92080 ise 1.0.8 ile 1.1.0 öncesi sürümlerini etkiliyor.

Önerilen önlemler

Siber Güvenlik Başkanlığı, uygulamanın en az 1.1.0 sürümüne ya da sonrasına yükseltilmesini öneriyor.