TÜBİTAK BİLGEM'in pardus-usb-formatter aracında yetkili disk biçimlendirme açığı kapatıldı

Siber Güvenlik Başkanlığı, 5 Kasım’da yayımladığı TR-26-1466 numaralı bildirimde, TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü’nün geliştirdiği pardus-usb-formatter ürününde bir güvenlik açığı tespit edildiğini duyurdu. Başkanlığa göre bu açık nedeniyle siber saldırganların saldırı gerçekleştirmesi ihtimal dahilinde. Açık CVE-2026-95652 numarasıyla izleniyor.

Açık

CVE kaydının başlığına göre aygıtın yeterince doğrulanmaması, yetkili disk biçimlendirmeye izin veriyor. Kayıtta açık gereksiz yetkilerle çalıştırma (execution with unnecessary privileges) olarak tanımlanıyor ve CWE sınıfı CWE-250. Kaydı TR-CERT yayımladı ve açığı bulan kişi olarak İbrahim Arı gösteriliyor.

Açığın CVE kaydındaki CVSS 3.1 puanı 6.6, yani orta önemde. Puanlamaya göre saldırgan için yerel erişim, düşük yetki ve kullanıcı etkileşimi gerekiyor. Açığın bütünlüğe ve erişilebilirliğe etkisi yüksek, gizliliğe etkisi yok. Kayıtta açığın saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

CVE kaydına göre açık pardus-usb-formatter’ın 0.7.0 ile 0.7.2 öncesi sürümlerini etkiliyor.

Önerilen önlemler

Siber Güvenlik Başkanlığı, uygulamanın en az 0.7.2 sürümüne ya da sonrasına yükseltilmesini öneriyor.