Rejetto HFS, Math.random() ile imzaladığı admin oturum çerezleri sunucu ele geçirmeye açıktı

Rejetto HFS, çoğunlukla ofisteki yedek makinelerde kurulup dosyaları meslektaşlara veya müşterilere dağıtmak için kullanılan hafif bir dosya sunucusudur ve 3.0.0 ile 3.2.0 arası sürümlerinde ciddi bir oturum yönetimi hatası taşıyordu. Yönetici oturum çerezinin imzalama anahtarı, JavaScript'in Math.random() fonksiyonundan türetiliyordu; bu fonksiyon kriptografik güvenlik sunmayan genel amaçlı bir üreticidir. Sorun CVE-2026-61500 olarak izleniyor; VulnCheck'ın duyurusu CVSS 4.0 ölçeğinde 9.3 puan veriyor ve zafiyeti kriptografik olarak zayıf sözde-rastgele sayı üreticisi kullanımını ifade eden CWE-338 ile eşleştiriyor. Düzeltme 3.2.1 sürümünde yayınlandı.

Çerez sahteciliği nasıl işliyor

Duyuruya göre üreticinin çıktısı yalnızca imzalama anahtarını oluşturmak için kullanılmıyor — aynı zamanda giriş işleminin bir parçası olarak kimlik doğrulaması yapmamış istemcilere de gönderiliyor. Bu ikili, teorik bir zayıflığı pratik bir saldırıya dönüştürüyor.

Tek başına kullanılan zayıf bir üretici, saldırganı bilinmeyen bir anahtarı tahmin etmeye mahkûm bırakırdı. Ancak JavaScript motorlarındaki sözde-rastgele üreticiler deterministik durum makineleridir: tek bir çıktıyı tahmin etmek zordur, ama ardışık birkaç çıktı, iç durutu deneme yanılma yerine hesaplamalı yollarla yeniden oluşturmak için yeterli olabilir. Birkaç giriş yanıtını toplayan saldırgan durumu kurtarabilir, imzalama anahtarını türetebilir ve ardından çerezleri çalmak yerine geçerli çerezler basabilir — yönetici ayrıcalıkları iddia eden çerezler dahil. Hiçbir parolanın tahmin edilmesi ya da hiçbir kullanıcının oltalanması gerekmiyor.

Sahte çerezden kod çalıştırmaya

HFS'de yönetici erişimi, paylaşılan klasörlere göz atmanın ötesinde bir şeydir. Ürünün server_code yapılandırma özelliği, yönetim arayüzü üzerinden sağlanan sunucu tarafı JavaScript kodunu çalıştırır. Zafiyetle ilgili bir dev.to analizi, sahte bir admin çerezine sahip saldırganın bu özelliği kullanarak kodu dosya sunucusunu işleten hesap altında çalıştırabileceğine dikkat çekiyor — HFS'nin tipik olarak çalıştığı küçük makinelerde bu hesap çoğu zaman yerel bir yöneticidir.

Erişilebilir ama sayılması zor

Analize göre HFS kurulumları şube ofisi makinelerinde, yapı çıktılarını dağıtan mühendislik iş istasyonlarında ve bir servis sağlayıcının yıllar önce kurup bir daha dönüp bakmadığı sunucularda karşımıza çıkıyor. Açıkta kalan kurulum sayısını ölçmek zor. Yazı için 23 Ekim 2026'da çalıştırılan ZoomEye sorguları app="HFS" uygulama parmak izi için 9.998, ürünün imza dizesi için gövde eşleşmesinde 50.263 ve düz başlık eşleşmesinde 61.861 host döndürdü — ancak bu sorguların hiçbiri HFS 2.x ile HFS 3.x'i ayırmıyor ve başlık sorgusu alakasız sayfaları da yakalıyor. Rakamlar ailenin açık internet üzerinde yaygın biçimde erişilebilir olduğunu gösteriyor; savunmasız bir sürümü kaç hostun çalıştırdığını değil. Güvenilir envanter içerideki yapılandırma verilerinden gelmek zorunda.

Operatörlerin neleri kontrol etmesi gerekiyor

• Sürüm: 3.0.0 ile 3.2.0 arası yapılar etkileniyor; 3.2.1 düzeltmeyi içeriyor. HFS 2.x ayrı bir kod tabanıdır ve bu duyurunun kapsamı dışındadır, ama varsayılan olarak daha güvenli olduğu varsayılmamalı.
• Erişim: Yönetim arayüzünün rastgele internet adreslerinden erişilebilir olması gerekmiyor. Bunu bir yönetim ağına veya VPN'e kısıtlamak ve dosya paylaşımını yönetimden ayırmak riskin büyük kısmını ortadan kaldırır.
• Ayrıcalıklar: Ayrılmış düşük ayrıcalıklı bir servis hesabı, aynı koddaki bir sonraki hatanın hemen tam bir host ele geçirmesine dönüşmesini engeller.
• Oturumlar: Düzeltmeyle imzalama anahtarı değişiyor, ama yükseltmeden önce basılan çerezler saldırganın bilebileceği bir anahtarla oluşturuldu. Servisi yeniden başlatın ve ekipten kimsenin yapmadığı yönetimsel işlemler için logları inceleyin.
• server_code: Özellik gerekmiyorsa devre dışı bırakmak, yamalanmamış bir hostta bile saldırı zincirinin son adımını ortadan kaldırır.

Yamadan sonra tespit

Yamalamak içerideki bir saldırganı dışarı atmadığı için yazı davranışsal izlemeyi öneriyor. Etkileşimli bir giriş akışını hiç tamamlamamış adreslerden yönetimsel uç noktalara yapılan kimlik doğrulamalı çağrıları işaretleyin — sahte bir çerez, arkasında başarısız deneme ve çok adımlı giriş dizisi olmayan yetkili bir istek üretir. Süreç tarafında, HFS çalıştırılabilir dosyasının alt süreci olarak beliren bir kabuk, betik sunucusu veya indirme aracı güçlü bir sinyaldir, çünkü server_code istismarı bir yerde çalışmak zorundadır.

Neden önemli

Bu hata, iki hatanın buluştuğunda oturum güvenliğinin nasıl çöktüğünün kompakt bir gösterimidir: kriptografik olmayan bir kaynaktan türetilen imzalama anahtarı ve bu kaynağın çıktısını yabancılara sızdıran bir kod yolu. "Bu kullanıcı giriş yaptı mı" sorusunu bir imzayla yanıtlayan uygulamaların kriptografik bir üreticiye ve asla sunucudan çıkmayan bir anahtara ihtiyacı vardır. Aynı zamanda, unutulmuş makinelerdeki kolaylık yazılımlarının gerçek bir maliyet taşıdığının bir hatırlatıcısıdır — erişilebilir HFS kurulumları çok sayıda, hostların çoğu dışarıdan sürüm olarak parmak izlenemiyor ve tahmin edilebilir bir çerezle başlayan yol, paylaşılan klasörlere salt okunur erişimle değil, host üzerinde kod çalıştırma ile bitiyor.