Rex versions through 1.16.1 for Perl accept an unknown SSH host key for remote rsync transfers because sync hardcodes StrictHostKeyChecking=no
CVSS Skor
—
EPSS İhtimal
—
Risk Skoru
—
Yayın
4 sa önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
1
Kaynak uyumu
Tam uyum
Kanıt güveni
%55
Kısa açıklama
CPANSec Rex 1.16.1 ve önceki sürümleri, uzak rsync aktarımlarında StrictHostKeyChecking=no parametresini sabit kodladığı için bilinmeyen SSH sunucu anahtarlarını kabul eder. Bu durum, bağlantıların yönlendirilmesi durumunda kimlik bilgilerinin ve verilerin ele geçirilmesine yol açabilir.
Bu güvenlik açığı, saldırganların ağ trafiğini yönlendirerek hassas parolaları ve verileri ele geçirmesine olanak tanır. Yama durumu belirsizliğini korumaktadır ve resmi kaynaklar takip edilmelidir.
Ne yapılmalı?
- Sağlayıcı duyurularını ve güncellemelerini takip edin
- Ağ trafiğini olası araya giren saldırgan saldırılarına karşı izleyin
- Mümkün olan durumlarda alternatif güvenli aktarım yöntemlerini değerlendirin
Kanıt zinciri ve kaynaklar
Rex 1.16.1 ve önceki sürümleri, rsync aktarımlarında StrictHostKeyChecking=no parametresini sabit kodlar.
Saldırganlar, bağlantıyı gerçek anahtar bilinmeden önce yönlendirerek kimlik doğrulama parolasını ve verileri ele geçirebilir.
İncelenen resmî kaynaklarda yama durumu doğrulanamamıştır.
Kaynaklardaki teknik metni göster
Rex versions through 1.16.1 for Perl accept an unknown SSH host key for remote rsync transfers because sync hardcodes StrictHostKeyChecking=no. Every remote branch of sync builds its ssh command with that option, for password authentication, for private-key authentication and for the fallback. The ssh options a caller sets through set_openssh_opt reach the OpenSSH transport but not this command, so there is no configuration that restores host key checking for the transfer. An attacker who can redirect the connection before the real host key is known presents their own and the transfer proceeds: under password authentication sync sends the connection password to that server, an upload writes the selected local files to it, and a download writes what it returns to the local destination.
CWE: CWE-322
Açıklama kaynak kayıtlardan otomatik derlendi. Puanlar, aktif sömürü, yama ve exploit durumları doğrudan kaynaklardan gelir.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2026-94140 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
| ID | VENDOR | PRODUCT | ACTION |
|---|---|---|---|
| 1 | CPANSec | Rex | İncele |
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| Kaynaklar henüz doğrulanmış bir CVSS metriği yayımlamadı. | ||||
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-94140 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-94140 weaknesses.
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.daybreach.dev/api/v1/intel/cves/CVE-2026-94140"