CVE-2026-78254

Apache Ant'nin ftp ve scp görevleri, uzak bir sunucudan dosya indirebilir. Kötü niyetli bir sunucu, indirme işlemi için ayrılmış hedef dizinin dışına yazmaya olanak tanıyan göreceli yollar sağlayarak, Ant 1.10.18 öncesindeki sürümlerde Ant'yi çalıştıran kullanıcının izinlerini kullanarak saldırganın seçtiği dosyaların üzerine yazılmasını mümkün kılabilir. Bu zafiyeti istismar etmek için sunucunun ya kötü niyetli olması ya da bir ortadaki adam (machine-in-the-middle) saldırısına maruz kalmış olması gerekir. Ek olarak, scp veya ftps kullanan ftp görevi durumunda, sunucunun görevler tarafından gerçekleştirilen sunucu kimlik doğrulamalarını geçmesi gerekir. ftps kullanmayan ftp görevleri için, kötü niyetli bir sunucu, kötü amaçlı dosyalar sağlamak amacıyla bir ortadaki adam gibi hareket edebilir. Ant 1.10.18 ile birlikte, her iki görev de varsayılan olarak hedef dizinin dışına yazılmasını engelleyecektir. Mevcut derleme dosyalarının eski davranışa ihtiyaç duyduğu düşük ihtimalli durumlar için bu davranışı devre dışı bırakacak bir seçenek mevcuttur. Azaltma Önlemleri: Herhangi bir Ant sürümünde scp ve ftp (ftps kullanılırken) kullanıcıları, sunucu kimlik doğrulamalarını atlamamalıdır. ftps kullanmayan ftp kullanıcıları, mümkün olduğunca ftps'e geçmelidir. Tüm kullanıcıların, bu sorunu gideren Apache Ant 1.10.18 sürümüne yükseltmeleri önerilir.