CVE-2026-0857

Mesalvo MEONA (MEONA Server ve MEONA Client) içerisinde, şifresi son olarak MEONA 2024.10 öncesi bir sürümde belirlenmiş kullanıcı hesapları için Yetersiz Hesaplama Çabasına Sahip Parola Özeti kullanımı söz konusudur. 2024.10 öncesi MEONA sürümleri, saklanan parolaları SHA-1 ile korumaktaydı (Ekim 2015 sonrası sürümler) veya korumasız olarak saklamaktaydı (daha eski sürümler). MEONA 2024.10 (Haziran 2024) sürümünden itibaren varsayılan yöntem Argon2'dir ve belirlenen veya değiştirilen her parola Argon2 ile saklanır; önceki bir sürüm altında son kez belirlenen parolalar, değiştirilene kadar eski yöntemi korur. Bir yönetici ayrıca hesap başına depolama yöntemini seçebilmekteydi. Bir MEONA süper yöneticisi, bu tür hesapların saklanan değerlerini MEONA Client kullanıcı yönetiminde okuyabilir veya idari veritabanı işlevleri aracılığıyla dışa aktarabilir. Yalnızca MEONA içinde yerel olarak yönetilen hesaplar etkilenmektedir; işletmeci hastanenin dizin hizmeti (Active Directory / Entra ID) üzerinden kimliği doğrulanan hesapların MEONA'da saklanan bir parolası yoktur. Tipik kurulumlarda son kullanıcılar dizin hizmeti aracılığıyla kimlik doğrulaması yapar ve yerel hesaplar acil durum ve teknik hesaplarla sınırlıdır. İstismar edilmesi, işletmeci hastanenin ağı içerisinden MEONA'da süper yönetici izinleri (veya MEONA veritabanına doğrudan erişim) gerektirir; MEONA, halka açık İnternet'e maruz kalmadan yalnızca kapalı hastane ağları içinde çalıştırılır ve bir hastanenin bu ağa uzaktan erişime izin verdiği durumlarda, bu erişim yalnızca hastanenin kontrolündeki kendi uzaktan erişim altyapısı (örneğin VPN) üzerinden sağlanır. Her parolanın MEONA 2024.10 veya daha yeni bir sürüm altında belirlendiği veya değiştirildiği kurulumlar etkilenmemektedir. Mesalvo, bildirilen güvenlik testi dışında herhangi bir istismardan haberdar değildir. Bu sorun, 2024.10, 2025.04 ve 2026.03 sürümlerindeki (parolaları son olarak önceki sürümlerde belirlenmiş hesaplar için) MEONA Server ve MEONA Client'ı etkilemektedir. MEONA 2025.04.24 ve 2026.03.02 (2026 4. çeyrek planlı) sürümleri eski depolama yöntemlerini kaldırmakta, etkilenen her hesabın bir sonraki oturum açmada Argon2 ile korunan yeni bir parola belirlemesini gerektirmekte ve artık kullanıcı yönetiminde saklanan kimlik bilgisi değerlerini görüntülememektedir. Bkz. Mesalvo Güvenlik Bildirimi MSA-2026-002.