Ağ yapılandırma yönetimi aracı rConfig'te CVSS 9.8 açık: kimlik doğrulamasız kod çalıştırma
rConfig Core 8.2.19 öncesi ve rConfig Pro 8.4.1 öncesi sürümlerde, Redis tabanlı iş kuyruğu üzerinden kimlik doğrulamasız kod çalıştırmaya izin veren CVE-2026-124079 duyuruldu. Saklanan cihaz kimlik bilgileri risk altında.
CVE-2026-124079
Router, switch ve firewall yapılandırmalarını yedeklemek ve yönetmek için kullanılan açık kaynak ağ yapılandırma yönetimi (NCM) aracı rConfig'te kritik bir açık duyuruldu. CVE-2026-124079 kimlik doğrulaması olmadan sunucuda kod çalıştırmaya izin veriyor. Kayıt 9 Kasım'da NVD'ye girdi. VulnCheck açığa CVSS 3.1 ile 9,8, CVSS 4.0 ile 9,3 puan verdi. Açık CISA KEV kataloğunda yok ve aktif istismar bildirimi yok.
Kayda göre sorun, uygulamanın kullandığı Redis tabanlı Laravel Horizon iş kuyruğunda. Etkilenen kurulumlarda kuyruk kimlik doğrulaması olmadan çalışıyor ve kuyruğa giren işler sınıf kısıtı olmadan deserialize ediliyor. Saldırgan sunucuda kuyruk servisinin kullanıcısıyla komut çalıştırabiliyor. Kalıcı bir web shell bırakabiliyor, veritabanı bilgilerini, saklanan cihaz kimlik bilgilerini ve API token'larını okuyabiliyor. Redis'e doğrudan erişemeyen ama uygulamada oturumu olan bir saldırgan da aynı sonuca ulaşabiliyor. rConfig ağdaki tüm cihazların yapılandırmasını ve parolalarını tuttuğu için, bu açık bir sunucudan ağın geneline uzanan bir risk taşıyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| rConfig Core | 8.0.0 – 8.2.18 | 8.2.19 |
| rConfig Pro | 8.4.1 öncesi | 8.4.1 |
Beni etkiliyor mu?
Önce kurulu sürümü rConfig arayüzünden ya da kurulum kaydınızdan doğrulayın. Ardından sunucuda Redis'in hangi adreste dinlediğine ve parola ayarına bakın:
systemctl status redis
grep -E "^(bind|protected-mode|requirepass)" /etc/redis/redis.confRedis'in yapılandırma dosyası dağıtıma göre farklı bir yerde olabilir. Redis 127.0.0.1 dışında bir adreste dinliyorsa ya da parola tanımlı değilse risk daha yüksektir.
Ne yapılmalı?
- rConfig Core'u 8.2.19'a, rConfig Pro'yu 8.4.1'e yükseltin.
- Yükseltme hemen yapılamıyorsa Redis'i yalnızca yerel adrese bağlayın, parola zorunluluğu getirin ve 6379 portuna dışarıdan erişimi firewall ile kapatın.
- rConfig arayüzünü internete açmayın. Erişimi yönetim ağından ve yetkili yönetici adreslerinden verin.
- Web klasöründeki
storage/app/publicdizininde beklenmeyen PHP dosyası olup olmadığına ve kuyruk loglarında tanımadığınız işlere bakın. - Şüpheli bir iz bulursanız rConfig'te saklanan tüm cihaz parolalarını, SSH anahtarlarını ve API token'larını değiştirin. Bunları yönettiği router, switch ve firewall'larda da yenileyin.
- Yükseltmeyi change management kaydıyla planlayın ve yedekleme görevlerinin sonrasında çalıştığını doğrulayın.
