CVE-2026-123025
Təsvir
OPNsense os-acme-client plagininin 4.17 versiyasına qədər olan versiyalarında Google Cloud DNS təsdiqləmə modulunda Əməliyyat Sistemi Əmr İnyeksiyası (OS Command Injection) zəifliyi aşkar edilmişdir. DnsGcloud::prepare() metodu dns_gcloud_key model sahəsini dekodlaşdırır və gcloud_account və gcloud_project sətir sahələrini heç bir yoxlama və ya xüsusi simvolların təmizlənməsi (escaping) olmadan, LeUtils::run_shell_command() vasitəsilə proc_open()-ə ötürülən shell əmrinə birbaşa daxil edir. WebGUI/API vasitəsilə sertifikatları buraxmaq və ya yeniləmək səlahiyyətinə malik uzaqdan autentifikasiya olunmuş istifadəçi root olaraq ixtiyari kodun icrasını həyata keçirə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| OPNsense os-acme-client | v ≤ 4.17.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.