CVE-2026-47192

kas, bitbake tabanlı projeler için bir kurulum aracıdır. 4.8 sürümünden itibaren ve 5.3 sürümünden önce, kas yapılandırma içeriklerine ilişkin depoları, bu depoların imzalarını doğrulamadan önce kontrol eder ve işler. Bu, çok özel koşullar altında orijinal bir deponun saldırganın kontrolündeki bir depoyla değiştirilmesine olanak tanıyabilir. Öncelikle, saldırgan mağdurun bir kas dosyasının başvurduğu bir deponun kontrolünü ele geçirmiş olmalıdır. Ayrıca şu koşullar sağlanmalıdır: mağdurun kas yapılandırması saldırıya uğrayan depodan bir yapılandırma dosyası içermelidir; depo durumu etiketle başvurulmalı ve hiçbir commit ID belirtilmemelidir (bu bir uyarıyı tetikler, ancak); etiket veya commit imzasını doğrulamak için kullanılan anahtar bir depoda dosya olarak saklanmalıdır; anahtar için hiçbir parmak izi belirtilmemelidir; ve kas çağrılırken mağdur tarafından `_source_dir` anahtarı ayarlanmamalıdır (ör. yerel bir `.config.yaml` dosyasından kaçınılarak). Bu koşullar göz önüne alındığında, saldırgan dahil edilen kas yapılandırmasını, saldırganın deposunun etiket imzasını doğrulamak için kullanılan anahtarın saldırgan tarafından seçilen bir anahtarla değiştirilebileceği şekilde değiştirebilir. Şu ana kadar başka hiçbir sömürü olasılığı tespit edilmemiştir, ancak bu, bunların var olabileceğini dışlamaz. Tüm yamalar kas 5.3 sürümüyle birlikte yayımlanmıştır. Geçici bir çözüm olarak, beklenen imza anahtarını parmak izi aracılığıyla sabitleyin, bir depoda dosya olarak saklarken de bunu yapın.