IBM Aspera Faspex'te CVSS 9.8 yetki atlatma: sıradan kullanıcı tam yönetici olabiliyor
IBM, dosya aktarım platformu Aspera Faspex'in 5.0.0–5.0.19 sürümlerindeki CVE-2026-123218 açığını 5.0.19 PL1 ile kapattı. Kimliği doğrulanmış bir kullanıcı özel bir mesajla tam yönetici yetkisi alabiliyor.
CVE-2026-123218
IBM, 7 Kasım'da yayımladığı güvenlik bülteniyle Aspera Faspex'teki CVE-2026-123218 açığını duyurdu. Açık, hatalı yetkilendirme (CWE-863) sınıfında ve IBM tarafından CVSS 9.8 olarak puanlandı. Bültene göre kimliği doğrulanmış bir kullanıcı, özel olarak hazırlanmış bir mesajla yetki denetimini atlatıp uygulama üzerinde tam yönetici yetkisi elde edebiliyor.
Aspera Faspex, kurumların büyük dosyaları dış taraflarla paylaşmak için kullandığı ve çoğu zaman internete açık çalışan bir platform. Ürün geçmişte de saldırganların hedefi oldu. Bu açık için şimdilik saldırı raporu ya da public exploit yok ve CISA KEV listesinde değil. Ancak harici paylaşım için hesap açılan kurulumlarda düşük yetkili bir hesabın yönetici olabilmesi, aktarılan tüm dosyaların açığa çıkması anlamına geliyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| IBM Aspera Faspex (Linux) | 5.0.0 – 5.0.19 | 5.0.19 PL1 |
IBM, yükseltme sonrası faspex-core konteyner imajının 5.0.19 (1ce4b13, Fix Pack: 1) olarak görünmesini doğrulama ölçütü olarak veriyor. Ayrıntılar IBM bülteninde.
Beni etkiliyor mu?
Faspex 5 konteyner tabanlı çalıştığı için çalışan imajı salt okunur komutlarla görebilirsiniz:
docker ps --format "{{.Image}} {{.Names}}" | grep -i faspex
docker images | grep -i faspexWeb arayüzünde yönetici olarak oturum açıp sürüm bilgisini Yardım › Hakkında bölümünden de kontrol edebilirsiniz. Sürüm 5.0.19 ya da öncesiyse ve Fix Pack 1 görünmüyorsa etkileniyorsunuz.
Ne yapılmalı?
- Aspera Faspex'i 5.0.19 PL1 sürümüne yükseltin ve
faspex-coreimajının bültendeki değerle eşleştiğini doğrulayın. - Yükseltmeye kadar dış kullanıcı hesaplarını gözden geçirin, kullanılmayanları devre dışı bırakın; yönetim arayüzüne erişimi mümkünse iç ağla sınırlayın.
- Yönetici rolüne yakın tarihte eklenmiş hesapları, beklenmeyen yetki değişikliklerini ve olağan dışı toplu indirmeleri denetim kayıtlarından inceleyin.
- Dosya aktarım hizmetinin kesintisini iş birimleriyle önceden planlayın ve yükseltmeyi change management kaydıyla yapın.
