Perforce, P4 Search'teki altı açığı yamaladı; varsayılan token hatası 10.0 aldı

Neler yayınlandı

Perforce, 5 Ekim 2026'da P4 Search 2026.4.2'yi yayınladı; bu bakım sürümü, eski adıyla Helix Core olarak bilinen kaynak kontrol platformu P4'nin önünde çalışan arama bileşenindeki altı güvenlik açığını kapatıyor. dev.to'daki bir yazıya göre sürüm üç kritik, bir yüksek ve iki orta dereceli puanlama içeriyor. Perforce, hiçbir açığın yaygın olarak sömürüldüğünü veya bunlara ilişkin herhangi bir kamuya açık kavram kanıtı (proof of concept) bulunduğunu bildirmiyor.

Ana açık: varsayılan servis token'ı

En ciddi sorun, CVSS 4.0 altında 10.0 puan alan CVE-2026-100103. P4 Search, ayrıcalıklı işlemleri bir servis kimlik doğrulama token'ı ile korur; ancak etkilenen resmi container imajlarında başlatma süreci bu token'ı, kamuya açık belgelerde de geçen sabit bir varsayılan değerle üzerine yazıyor.

Bunun sonucunda, servise ağ üzerinden erişebilen herkes, kolayca bakıp bulabileceği bir kimlik bilgisi sunarak servisin açığa çıkardığı en yüksek uygulama ayrıcalığını elde edebiliyor. dev.to'daki yazı, bunun bir ayrıştırma hatası, bellek bozulması veya yarış durumu olmadığını vurguluyor: kimlik doğrulama denetimi güvenli olmayan bir durumda başlıyor. Bu, sömürünün ardındaki olağan araştırma çabasını ortadan kaldırıyor ve geride temel gereklilik olarak ağ erişilebilirliğini bırakıyor — geliştirici iş istasyonlarının ve build agent'larının rutin olarak sorguladığı dahili bir arama uç noktası için düşük bir eşik.

Diğer beş güvenlik açığı

Sürüm ayrıca beş düzeltme daha içeriyor:

• CVE-2026-100102 (9.5), aynı container imajlarında kimlik doğrulaması gerektirmeyen bir Java Debug Wire Protocol arayüzü açığa çıkarıyor; buna erişim, P4 Search servis hesabı olarak rastgele kod çalıştırmaya olanak tanıyor.
• CVE-2026-103510 (9.5), boş bir servis token'ının kimlik doğrulaması yapılmayan çağrıcılara tam ayrıcalık verdiği bir fail-open (açık kalma) durumu.
• CVE-2026-103507 (7.5), bir token sahibinin günlük kaydı yapılandırma yolu üzerinden rastgele dosyalar yazabilmesine izin veriyor ve bu durum kod çalıştırmaya yükseltilebilir.
• CVE-2026-103511 (5.1), extension installer üzerinden dosya yazımına izin veriyor.
• CVE-2026-103512 (5.3), çalınmış bir P4 Server ticket'ının sahte bir istemci adresi ile ana bilgisayar tabanlı kısıtlamaları atlatmasına olanak tanıyor.

Etkilenen sürümler ve görünür erişim

Altı açığın tümü P4 Search 2026.4.1 ve önceki sürümleri etkiliyor. En ciddi iki sorun — varsayılan token ve açıkta kalan debug arayüzü — resmi container imajlarına özgü. Dosya yazma ve ticket bağlama açıkları ise daha geniş kapsamlı; varsayılan olmayan bir servis token'ı çalıştıran dağıtımlar dahil geçerli.

dev.to'daki yazı ayrıca 6 Ekim 2026'da ZoomEye ile görünür ayak izini ölçtü: Perforce uygulama parmak izi sorgusu 139 eşleşen varlık döndürdü ve başlık tabanlı bir sorgu 263 sonuç verdi. Yazar, bu rakamların kendilerini Perforce altyapısı olarak tanımlayan sistemleri betimlediğini; teyit edilmiş P4 Search kurulumları veya teyit edilmiş savunmasız ana bilgisayarlar olmadığını, dolayısıyla bir erişim sayımı değil ölçek göstergesi olarak hizmet ettiğini belirtiyor.

Önerilen düzeltme

Tavsiye, P4 Search 2026.4.2'ye yükseltmek ve container dağıtımlarını yerinde yamalamak yerine yamalanmış imajdan yeniden inşa etmek. Yöneticiler servis token'ını güçlü, benzersiz bir değerle değiştirmeli ve yükseltmeden sonra döndürmelidir. Yazı ayrıca P4 Search'i herkese açık internetten uzak tutmayı, debug portunu hem container hem ana makine güvenlik duvarlarında engellemeyi ve kötüye kullanım belirtileri için P4 Server ticket'larını incelemeyi öneriyor. Kısa vadede eski bir derlemeyi çevrimiçi tutması gereken ekipler, arama servisine güvenilmez olarak davlanmalı ve onu P4 Server'a giden ağ yolundan yalıtmallıdır.

Neden önemli

Kaynak kontrol altyapısı bir kuruluşun eksiksiz kod tabanını barındırır ve önündeki bir arama katmanının kamuya açık belgelenmiş bir kimlik bilgisi için en üst düzey ayrıcalık vermesi ciddi bir tedarik zinciri tarzı risktir. Egzotik bellek bozulması yerine dağıtım varsayılanından doğan kusursuz bir CVSS puanı, paketleme seçimlerinin uygulama kodu kadar önemli olduğunu hatırlatıyor. Ayrıca her yerdeki platform ekipleri için container imajlarında gömülü sırları denetlemeye, hiçbir zaman varsayılan durumda var olmuş herhangi bir token'ı döndürmeye ve debug arayüzlerinin üretimde asla erişilebilir olmadığını doğrulamaya bir çağrı. Özellikle Perforce kullanan kuruluşlar için bu sürüm isteğe bağlı değil: yamalama, imajı yeniden inşa etme ve servis token'ını döndürme tek koordineli bir görev olarak ele alınmalıdır.