Aptabase'ın örnek AUTH_SECRET değerı üretim ortamında imza anahtarı olarak kullanılabiliyordu (CVE-2026-125758)

Ne oldu

Self-hosted bir ürün analitiği platformu olan Aptabase, self-hosting örneğinde yalnızca yer tutucu olarak düşünülmüş bir AUTH_SECRET değeriyle birlikte dağıttı. dev.to'da yayımlanan bir yazıya göre CVE-2026-125758 olarak takip edilen bu açık, herkesin bildiği örnek değer gerçek bir dağıtıma ulaştığında ortaya çıkan durumu kapsıyor: Değeri bilen bir saldırgan kimlik doğrulama materyali sahteleyebilir ve kullanıcı ile uygulama işlevlerine erişebilir.

Sorun, CWE-1188 olarak sınıflandırılıyor: bir kaynağın güvenli olmayan bir varsayılanla başlatılması. Kayıttan dikkat edilmesi gereken iki nokta var: her dağıtımın örnek değeri kullandığı iddia edilmiyor ve herhangi bir sömürü kanıtlanmış değil.

Saldırı zinciri nasıl çalışıyor

dev.to'daki yazı, bu tür bir hatanın neden zayıf bir paroladan daha ciddi olduğunu açıklıyor. HMAC imza anahtarı, token'lara özgünlüklerini veren şeydir: değeri elinde tutan herkes, uygulamanın kabul edeceği token'lar üretebilir. Bu değer herkese açık dokümantasyondaysa veya örnek bir Compose dosyasındaysa, özgünlük garantisi çöker.

Yayımlanan açıklamada birkaç somut yol sıralanıyor:

• /api/_auth/signin endpoint'i üzerinden kayıtlı e-posta adreslerini listelemek; böylece saldırgan bir oturum açma bağlantısı hazırlamadan önce hedefini seçebiliyor.
• /api/_auth/continue endpoint'inin kabul ettiği HS256 JWT'leri sahtelemek.
• Kullanıcıların kimliğine bürünmek.
• Uygulama tanımlayıcıları, etkinlik adları, cihaz bağlamı ve kullanıcı özelliklerini içerebilen analitik verilerini dışa aktarmak.
• Uygulama sahipliğini devretmek; bu, veri dışa aktarımları, anahtarlar veya bağlı projeler üzerinde yönetici denetimi getirebilir.

Nihai etki, etkilenen dağıtımın hangi hesaplara hizmet verdiğine ve bu hesapların uygulamalarının neye erişebildiğine bağlı.

Container'larınızın gerçekte kullandığı secret'ı doğrulayın

Yazı, gözden kaçması kolay bir noktaya dikkat çekiyor: depoyu incelemek yeterli değil. Operatörler, Compose dosyalarını, environment dosyalarını, secret depolarını, dağıtım şablonlarını ve kaynak geçmişini bilinen örnek değer için incelemeli, ardından etkin runtime secret'ını örnek değerle karşılaştırmalı. Bu karşılaştırma reverse proxy'leri, platform düzeyinde secret enjeksiyonunu ve elle oluşturulmuş container'ları kapsamalıdır; çünkü depo temiz görünüyor olabilir ama hâlâ çalışan eski bir container örnek değerle başlatılmış olabilir.

Düzeltmeler ve takip

Aptabase sorunu 61d4c01298a706d575265461ac07bb956ca7b8d2 numaralı commit'te düzeltti, buna karşılık gelen self-hosting güncellemesini b79a472419ff17e485d0bd5b4adf1b1ef2b9953c numaralı commit'te yaptı ve GHSA-gc76-cqm4-vqcf danışma belgesini yayımladı. Operatörler, gerçekte kullandıkları dağıtım yöntemini güncellemeli ve ardından etkin secret'ın değiştiğini doğrulamalı.

Güncellemeden sonra önerilen adımlar şunlar:

• Benzersiz, yüksek entropili bir secret üretin. Rotasyon, eski değerle imzalanmış token'ları geçersiz kılar; oturumların kopmasını ve kullanıcıların yeniden oturum açmasını bekleyin.
• Dağıtımdaki hesapların oturum açma ve dışa aktarma etkinliğini inceleyin: oturum açma endpoint'ine yönelik listeleme desenleri, beklenmedik oluşturma bağlamına sahip token'lar ve sahiplik değişiklikleri arayın. Rotasyon kanıtların üzerine yazmadan önce uygulama etkinliklerini ve kimlik doğrulama kayıtlarını saklayın.
• Değişiklik sürerken analitik servisine erişimi yalnızca ihtiyaç duyan kullanıcı ve ağlarla sınırlayın. Servis örnek secret ile herkese açık durumdaysa, kayıtlar aksini kanıtlayana kadar hesap sahipliğinin ve dışa aktarılan verilerin erişilmiş olabileceğini varsayın.

Neden önemli

Bu, self-hosted yazılımlarda tekrarlanan bir örüntü: dokümandaki örnek kimlik bilgileri, biri bunları değiştirmeden dağıttığında sessizce üretim kimlik bilgilerine dönüşüyor. Kalıcı çözüm yukarıda, yani upstream tarafında. Dağıtım şablonları, stack ilk kez ayağa kaldırıldığında taze ve benzersiz bir secret oluşturmalı; uygulama da bilinen bir örnek değerin kullanımda olduğunu tespit ettiğinde başlamayı reddetmeli ya da en azından yüksek sesle uyarmalı.

Operatörler için pratik kural şudur: herkese açık dokümantasyonda görünen her kimlik bilgisini tanımı gereği ele geçirilmiş saymak ve çalışan sürecin gerçekte ne kullandığını, Git geçmişinin gösterdiğinden ziyade doğrulamak.