CVE-2026-82041
Açıklama
11.2.16 sürümünden önceki UTMStack, /command/{hostname} STOMP hedefine eşlenen işleyici olan UTMIncidentCommandWebsocket.processCommand() fonksiyonunda bir yetkilendirme eksikliği zafiyeti içermektedir; burada sağlanan komutlar iletilmeden önce herhangi bir rol kontrolü veya komut izin listesi uygulanmamaktadır. Rolüne bakılmaksızın kimliği doğrulanmış herhangi bir kullanıcı, bağlı tüm ajanlara gRPC üzerinden rastgele işletim sistemi komutları gönderebilir ve bu durum, ajan süreçlerinin genellikle root veya SYSTEM olarak çalıştığı izlenen uç noktalarda komut çalıştırılmasıyla sonuçlanır.
Nasıl düzeltilir
- UTMStack UTMStack11.2.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| UTMStack UTMStack | v < 11.2.16 | 11.2.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.