CVE-2026-54548

kas, bitbake tabanlı projeler için bir kurulum aracıdır. 5.4 sürümünden önce, SSH_PRIVATE_KEY veya SSH_PRIVATE_KEY_FILE tarafından tetiklenen dahili SSH anahtar kurulumu, kullanıcıya özel bir SSH yapılandırması mevcut olmadığında ~/.ssh/config dosyasını oluşturur ve StrictHostKeyChecking no içeren küresel bir Host * kuralı ekler. kas/libcmds.py içerisinde, ssh_no_host_key_check() fonksiyonu ctx.managed_env kontrolü yapılmadan çalışır; bu nedenle ayar kas kapandıktan sonra da kalıcı olur ve aynı yerel kullanıcı tarafından gerçekleştirilen gelecekteki SSH oturumlarını etkileyerek amaçlanan kısa ömürlü sürekli entegrasyon ortamının ötesine geçer. Bu nedenle, daha sonraki bir SSH bağlantısı, saldırgan kontrollü bir ana bilgisayar anahtarını doğrulama yapmadan kabul edebilir ve bu durum, oturum gizliliğini veya bütünlüğünü tehlikeye atan ortadaki adam (man-in-the-middle) saldırısı riskini artırır. Bu sorun 5.4 sürümünde düzeltilmiştir.