CVE-2026-42177
Açıklama
linux-entra-sso, Linux üzerinde Microsoft Entra ID ile SSO yapmak için kullanılan bir tarayıcı eklentisidir. 1.8.1 sürümünden önce, platform/chrome/js/platform-chrome.js:69-88 satırları arasında, urlFilter değeri Platform.SSO_URL + "/*" yani "https://login.microsoftonline.com/*" olan tek bir declarativeNetRequest kuralı kaydedilmektedir. Chrome'un | veya || çapası olmayan urlFilter özelliği, tam istek URL'sine karşı alt dize eşleşmesi yapar. Uygulanan aynı kural işlemi, Entra ID Primary Refresh Token çerezini ekleyen modifyHeaders işlemidir. platform/firefox/js/platform-firefox.js:53 dosyasındaki Firefox adaptörü, üstbilgiyi eklemeden önce önlem olarak startsWith(Platform.SSO_URL) kontrolü gerçekleştirirken, Chrome adaptörü bunu yapmamaktadır. Eklenti, platform/chrome/manifest.json:34 dosyasında beyan edilen optional_host_permissions: ["https://*/*"] aracılığıyla geniş ana bilgisayar izinlerine sahip olduğunda, yolu içinde https://login.microsoftonline.com/ barındıran bir URL'ye yapılan ana çerçeve navigasyonu, Chrome'un PRT çerezini saldırgan tarafından kontrol edilen ana bilgisayara gönderilen isteğe eklemesine neden olur. Bu güvenlik açığı 1.8.1 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| siemens linux-entra-sso | < 1.8.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.