CVE-2026-54055
Açıklama
Kitty, platformlar arası GPU tabanlı bir terminaldir. 0.47.2 öncesindeki sürümlerde, Kitty'nin dosya iletim protokolünde yerel yetki yükseltme zafiyeti bulunmaktadır; terminalde çalışan bir alt süreç, sembolik bağlantı doğrulaması ile dosya oluşturma arasındaki bir TOCTOU (Time-of-Check-Time-of-Use) yarış durumunu istismar ederek dosya sistemindeki rastgele dosyalara yazabilir. Dosyaları oluşturmak için kullanılan `os.open()` çağrısı `O_NOFOLLOW` kullanmamaktadır, bu da saldırganın ilk stat kontrolü ile gerçek dosya açma işlemi arasında bir sembolik bağlantı oluşturmasına ve böylece yazma işleminin sembolik bağlantıyı takip ederek rastgele bir hedefe yönlenmesine olanak tanır. Sürüm 0.47.2 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- kovidgoyal kitty0.47.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kovidgoyal kitty | v < 0.47.2 | 0.47.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.