RDK-B Web Arayüzünde Kritik Güvenlik Açıkları Tespit Edildi
Geniş bant ağ geçitleri ve ağ cihazları için geliştirilen açık kaynaklı RDK-B yazılım platformunun WebUI bileşeninde, sistem güvenliğini tehdit eden beş farklı zafiyet keşfedildi. rdkb-2025q4-kirkstone sürümünü etkileyen bu açıklar; bellek bozulması, hatalı kimlik doğrulama, yarış durumu ve yetersiz girdi denetimi gibi ciddi güvenlik kusurlarını içeriyor.
CVE-2026-19505 koduyla takip edilen zafiyet, JWT kimlik doğrulama sürecindeki imza doğrulama hatasından kaynaklanıyor. Bu açık, saldırganların geçersiz imzalı tokenlar kullanarak yönetici yetkileriyle sisteme giriş yapmasına olanak tanıyor. CVE-2026-19506 ise giriş sürecindeki paylaşılan bir değerin kötüye kullanılmasıyla, bir kullanıcının oturum sonucunun başka bir kullanıcıya aktarılmasına neden oluyor.
Sistem kaynaklarını hedef alan CVE-2026-19507, parola uzunluğu sınırlaması olmaması nedeniyle aşırı CPU tüketimine ve hizmet reddi (DoS) durumuna yol açabiliyor. CVE-2026-19508 ve CVE-2026-19509 ise bellek bozulması üzerinden kod yürütme potansiyeli taşıyor. Özellikle rtrouted sürecindeki bellek bozulması, kimlik doğrulaması yapmış bir yöneticinin bile cihazın çökmesine veya saldırgan kontrolündeki kodların çalıştırılmasına neden olabileceği bir zemin hazırlıyor.
RDK Central ekibine ulaşılamadığı için bu açıklar için henüz bir güncelleme yayınlanmadı. Güvenlik araştırmacıları, ilgili cihazların yönetim arayüzlerinin internete doğrudan açık bırakılmamasını ve yalnızca güvenilir ağlar üzerinden erişime izin verilmesini tavsiye ediyor.
