Axios CVE-2026-44494, prototype pollution açığını OpenShift kullanıcıları için MITM riskine dönüştürüyor

Ne oldu

Red Hat, yaygın olarak kullanılan JavaScript HTTP istemcisi Axios'taki CVE-2026-44494 açığı için bir kayıt yayımladı. Danışma belgesini özetleyen bir dev.to yazısına göre, bu açık bir uygulamada Object.prototype pollution'a zaten ulaşmış bir saldırganın bu durumu, sonraki Axios isteklerine yönelik tam bir man-in-the-middle saldırısına dönüştürmesine imkân tanıyor.

Red Hat sorunu Önemli (Important) olarak derecelendiriyor; CVSS 3.1 temel puanı 8.7, vektör ise CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N. Yüksek saldırı karmaşıklığı (attack complexity) öğesi, etkiden çok ön koşul olan pollution primitive'ini yansıtıyor; etki ise yüksek gizlilik ve bütünlük hasarını kapsıyor ve kullanılabilirlik üzerinde etkisi yok.

dev.to makalesinde alıntılanan GitHub danışma belgesi, Axios'un 1.0.0'dan 1.15.x'e kadar olan sürümlerini etkilenen olarak listeliyor ve 1.16.0'ı yamalanmış sürüm olarak belirtiyor. Red Hat, OpenShift Container Platform'u etkilenen kütüphaneyi içeren ürünler arasında sayıyor ve aksi belirtilmedikçe etkilenen olarak işaretlenen bir ürünün tüm minor sürümlerini kapsadığını, düzeltmelerin Red Hat errata aracılığıyla sunulduğunu not düşüyor.

Saldırı zinciri nasıl çalışıyor

Açık, Axios'un proxy ayarlarını çözümleme biçimine dayanıyor. HTTP adapter, birleştirilmiş istek yapılandırmasından config.proxy değerini okuyor. proxy, Axios'un varsayılanlarının bir parçası olmadığı için, kendi proxy özelliği olmayan bir yapılandırma nesnesi bile bir saldırganın Object.prototype üzerine enjekte ettiği değeri kalıtabilir. Bu kalıtılan değer Axios'un setProxy() fonksiyonuna ulaşırsa, isteği saldırganın seçtiği bir host ve porta yönlendirebilir.

Bu şekilde konumlanan bir proxy, istek başlıklarını, kimlik bilgilerini, cookie'leri ve gövdeleri okuyabilir yanıtları da değiştirebilir. Red Hat'in dev.to'da aktarılan açıklamasına göre, pollution primitive mevcut olduğunda doğrudan kullanıcı etkileşimi gerekmiyor. Ayrı bir pollution kaynağına ihtiyaç duyulması, sorunu doğrudan istismar edilebilir değil koşullu hale getiriyor.

Etkilenen listelemesi gerçekte ne anlama geliyor

dev.to makalesi, etkilenen ürün listelemesinin, Red Hat'in söz konusu ürünün bir veya daha fazla etkilenen bileşen içerdiğini tespit ettiği anlamına geldiğini vurguluyor. Bu, her cluster'ın istismar edilebilir olduğu anlamına gelmiyor: uygulamanın hem Object.prototype'ı kirletecek bir yola hem de kirletilmiş proxy değerini kalıtan sonraki bir Axios isteğine ihtiyacı var.

Makale ayrıca platform ile müşteri iş yükleri arasında bir çizgi çekiyor. Red Hat'in errata belgeleri Red Hat'in bakımını yaptığı paketleri ele alıyor; ancak müşteri tarafından oluşturulmuş bir Node.js imajı kendi Axios kopyasını içerebilir. Cluster'ın kendisi tamamen yamalanmış olsa bile bu imajların güncellenmiş bir bağımlılığa karşı yeniden derlenmesi gerekiyor.

OpenShift ekipleri için bir doğrulama kontrol listesi

Makale somut adımlar sıralıyor:

• Tüm OpenShift namespace'lerini ve runtime imaj özetlerini (digest) envanterleyin, ardından her nihai imajın paket envanterinde 1.16.0'ın altındaki Axios'u sorgulayın. Uygulamaları, job'ları, operator'leri ve sidecar'ları kapsayın; imaj sahiplerini ve Axios kullanan istek yollarını kaydedin.
• Kurulu OpenShift Container Platform sürümü için güncel Red Hat güvenlik danışma belgesini kontrol edin ve CVE-2026-44494'yü içeren errata belgelerini uygulayın.
• Uygulama imajlarını Axios 1.16.0 veya üzeri ile yeniden derleyin ve yeni imajın içinde düzeltilmiş paketin mevcut olduğunu doğrulayın.
• Nesne ayrıştırma kodunu özyinelemeli birleştirmeler ve tehlikeli anahtarlara göre inceleyin. Güvenilmeyen proto, constructor ve prototype anahtarlarını reddetmek maruziyeti azaltabilir; ancak Red Hat desteklenen bir azaltım bulunmadığını söylediğinden, bu kontroller errata ve paket güncellemesinin yerine geçen bir çözüm olarak kaydedilmemeli.

Gerçek dünyadaki maruziyete ilişkin sınırlı görünürlük

Bağlam olması için makale, OpenShift başlıklı ürünler için yapılan bir ZoomEye aramasının 3 Kasım 2026 UTC'de 5.443 eşleşme döndürdüğünü, CVE için yapılan filtrelemenin ise sıfır sonuç verdiğini bildiriyor. Yazar bunun ürün başlıklarına ilişkin kaba bir sayım olduğunu, daha fazla kanıt olmadan Red Hat'in etkilenen ürün envanteriyle karşılaştırılamayacağını ve belirli bir dağıtımın savunmasız olduğunu doğrulamadığı uyarısında bulunuyor.

Neden önemli

Bu açık, CVSS puanlarının en kötü senaryoyu, tipik senaryoyu değil, tanımladığının bir hatırlatıcısı. 8.7 puanı, birçok uygulamanın asla sahip olmayacağı bir ön koşulun — prototype pollution — arkasında duruyor. Ancak bu ön koşul mevcut olduğunda kazanç, kimlik bilgileri ve cookie'ler dahil giden HTTP trafiğinin tamamını görebilmenin yanı sıra yanılları değiştirme yeteneği oluyor.

Ayrıca platform tarafından yönetilen ortamlarda yaygın bir kör noktaya dikkat çekiyor: Axios sayısız Node.js imajında transitive dependency olarak dolaştığından, OpenShift'i yamalamak müşteri tarafından oluşturulmuş iş yüklerine dokunmuyor. OpenShift çalıştıran ekipler, errata belgeleriyle imaj imajına tam bir bağımlılık envanterini iki ayrı görev yerine tek bir birleşik görev olarak ele almalı.