Saldırının Genel Çerçevesi
n8n platformunda, özellikle 1.123.22, 2.9.3 ve 2.10.0 sürümleri arasında yer alan kritik güvenlik açıkları, uzaktan kod çalıştırma (RCE) ve kimlik bilgisi sızıntısı risklerini beraberinde getiriyor. Bu zafiyetler, hem kendi kendine barındırılan hem de bulut tabanlı n8n dağıtımlarını etkiliyor. Güvenlik açıkları, iş akışı parametrelerinde ve form düğümlerinde doğrulama eksikliklerinden kaynaklanıyor.
Saldırı Zinciri ve Teknik Detaylar
Öne çıkan iki kritik CVE kodu şunlar:
- CVE-2026-27577: İfade derleyicisindeki sandbox kaçışı, AST yeniden yazıcısındaki eksiklik nedeniyle doğrulanmış ifadeler üzerinden tam RCE’ye izin veriyor.
- CVE-2026-27493: Form düğümlerinde kimlik doğrulaması olmadan ifade değerlendirmesi yapılması, kötü niyetli kullanıcıların “Bize Ulaşın” formu aracılığıyla zararlı komutlar enjekte etmesine olanak tanıyor.
Ek olarak, CVE-2026-27495 ve CVE-2026-27497 kodlu açıklar, JavaScript Görev Çalıştırıcı sandbox’ında kod enjeksiyonu ve Merge düğümünde SQL sorgu modunda rastgele kod çalıştırma ve dosya yazma imkanı sağlıyor.
Hangi Sistemler Risk Altında?
Bu açıklar, özellikle iş akışı oluşturma ve düzenleme yetkisi olan doğrulanmış kullanıcıların bulunduğu ortamları hedef alıyor. Ayrıca, form düğümlerini kullanan ve kimlik doğrulaması olmayan uç noktalar üzerinden saldırılar gerçekleştirilebiliyor. Bu durum, SaaS sağlayıcıları, bulut hizmetleri ve kendi kendine barındırılan otomasyon platformları için ciddi risk oluşturuyor.
Sistem Yöneticileri ve SOC Ekipleri İçin Öneriler
- İş akışı oluşturma ve düzenleme izinlerini yalnızca güvenilen kullanıcılarla sınırlandırın.
- n8n sürümlerini 2.10.1, 2.9.3 veya 1.123.22 gibi yamalı sürümlere güncelleyin.
- Form düğümlerini kullanmıyorsanız, NODES_EXCLUDE ortam değişkeni ile devre dışı bırakın.
- JavaScript Görev Çalıştırıcı için dış çalıştırıcı modunu (N8N_RUNNERS_MODE=external) etkinleştirin.
- Merge düğümünü devre dışı bırakmak için NODES_EXCLUDE ortam değişkenini kullanın.
- Ortam değişkeni N8N_ENCRYPTION_KEY erişimini kısıtlayarak kimlik bilgisi sızıntısını önleyin.
- Güvenlik duvarı ve ağ segmentasyonu ile iş akışı yönetim sistemlerine erişimi sınırlandırın.
- Olay müdahale süreçlerinde bu zafiyetlere karşı tetikleyiciler ve log analizi yaparak anormallikleri izleyin.
Teknik Özet
- Zafiyetler: CVE-2026-27577, CVE-2026-27493, CVE-2026-27495, CVE-2026-27497
- Risk: Uzaktan kod çalıştırma, kimlik bilgisi sızıntısı, SQL enjeksiyonu, sandbox kaçışı
- Saldırı zinciri: Kimlik doğrulaması olmayan form uç noktası veya iş akışı parametreleri üzerinden zararlı ifade enjeksiyonu → sandbox kaçışı → RCE
- Önerilen savunma: Güncelleme, erişim kısıtlaması, ortam değişkeni yönetimi, sandbox izolasyonu, ağ segmentasyonu
Bu güvenlik açıkları, özellikle bulut güvenliği ve e-posta güvenliği alanlarında alınacak önlemlerle desteklenmeli, fidye yazılımı gibi saldırı türlerine karşı çok katmanlı savunma stratejileri uygulanmalıdır.