CVE-2026-83497 olarak tanımlanan kritik bir güvenlik zaafiyeti, OpenSearch SQL eklentisi içinde keşfedildi ve bu durum, kendi kendini yöneten dağıtımları ile bulut ortamlarını potansiyel uzaktan kod yürütme riskine açık hale getiriyor. 31.08.2026 tarihinde 2026-092-AWS Bülten Kimliği ile yayınlanan bu açık, veritabanı uç noktasının sayfalama mekanizmasındaki kısıtlanmamış Java serileştirme işlemeden kaynaklanmaktadır. Temel okuma ve arama izinlerine sahip tehdit aktörleri, kötü amaçlı olarak hazırlanmış bir imleç (cursor) parametresini doğrudan plugins/sql uç noktasına göndererek bu zaafiyetten yararlanabilir; böylece güvenlik sınırlarını atlayıp temel sunucu altyapısı üzerinde isteğe bağlı kod çalıştırabilirler.
Java Serileştirme Açıklarının Mantığını Anlamak
Kısıtlanmamış Java serileştirme, bir uygulamanın güvenilmeyen verileri uygun doğrulama veya güvenlik filtreleri olmadan nesnelere dönüştürmesi durumunda ortaya çıkan ciddi bir güvenlik zaafiyeti kategorisidir. OpenSearch gibi veritabanı analitiği motorları ve arama çerçeveleri bağlamında, imleç sayfalama (cursor pagination) gibi özellikler, büyük veri setlerini birden fazla ardışık sorgu üzerinden yönetmek için durum bilgisini serileştirmeye dayanır. Uygulama, imleç dizeleri gibi parametreler aracılığıyla iletilen gelen nesne akışlarına körü körüne güvenir ve bunları serileştirmeden çıkarırsa, bir saldırgan özel olarak oluşturulmuş serileştirilmiş yükler kurgulayabilir. Arka uç bu yükleri işlediğinde, çalışma zamanı ortamı gömülü talimatları yürütür ve bu durum doğrudan tam sistemin ele geçirilmesine yol açar.
Etkilenen Sürümler ve Kapsamlı Düzeltme Kapsamı
Bu keşif, hem açık kaynaklı dağıtımların hem de kurumsal yönetimli bulut hizmetlerinin birden fazla sürümünü etkilemektedir. Kendi altyapılarını yöneten yöneticiler, maruz kalma seviyelerini belirlemek ve gerekli yamaları uygulamak için ortamlarını derhal incelemelidir. Zaafiyet, belirli bir yazılım sürümü aralığını kapsamakta olup olası istismarlara karşı tam koruma sağlamak için belirli yükseltme yolları gerektirmektedir.
- OpenSearch SQL Eklentisi (Kendi Yönetiminizdeki): Etkilenen sürümler v2.8 sürümünden v3.6 sürümüne (dahil) kadar olan aralığı kapsamaktadır.
- OpenSearch SQL Eklentisi (Düzeltilen Sürümler): 3.7 ve 2.19.6 sürümlerinde çözülmüştür.
- Amazon OpenSearch Service (AWS Yönetimli): Etkilenen sürümler v2.9 ile v3.5 arasındaki aralıktadır.
- Amazon OpenSearch Service (Azaltma Önlemi): v2.9 ile v3.5 arasındaki sürümleri kapsayan otomatik servis yazılımı güncellemeleri aracılığıyla doğrudan yamalanmıştır.
Sistem Yöneticileri İçin Eylem Maddeleri
Kendi yönettiği OpenSearch kümelerini işleten güvenlik ekipleri, aktif dağıtım dalına bağlı olarak SQL eklentisini 3.7 veya 2.19.6 sürümüne yükseltmeye öncelik vermelidir. Yönetilen Amazon OpenSearch Service kullanan kuruluşlar için AWS, v2.9 ile v3.5 sürümü arasındaki etkilenen kümeleri güvence altına almak amacıyla hedefli servis yazılımı güncellemeleri yayınlamıştır. Okuma ve arama yetkilerini sınırlamak için erişim kontrollerini gözden geçirmek de, kimliği doğrulanmış tehdit aktörleriyle ilişkili risk profilini en aza indirmek adına etkili bir derinlemesine savunma önlemi olarak hizmet edebilir.
Kaynak: Orijinal Makale
