Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), ‘İstismar Edildiği Bilinen Güvenlik Açıkları Kataloğu’na aktif olarak yararlanılan on yedi güvenlik açığını daha ekledi.
‘İstismar Edildiği Bilinen Güvenlik Açıkları Kataloğu’, saldırılarda tehdit aktörleri tarafından kötüye kullanıldığı görülen ve Federal Sivil Yürütme Şubesi (FCEB) kurumları tarafından tedbir alınması gereken güvenlik açıklarının bir listesidir.
CISA, bu listeyi şu şekilde tanımlıyor: “Bağlayıcı Operasyonel Yönerge (BOD) 22-01: Kullanıldığı Bilinen Güvenlik Açıklarına İlişkin Önemli Riskin Azaltılması, federal kuruluşlar için önemli riskler taşıdığı bilinen CVE’lerin güncel bir listesi olarak İstismar Edildiği Bilinen Güvenlik Açıkları Kataloğu’nu oluşturdu.”
“BOD 22-01, FCEB ağlarını aktif tehditlere karşı korumak için FCEB kurumlarının belirlenen güvenlik açıklarını son tarihe kadar düzeltmesini gerektirir. Daha fazla bilgi için BOD 22-01 Bilgi Sayfasına bakabilirsiniz.”
Katalogda listelenen güvenlik açıkları, tehdit aktörlerinin kimlik bilgilerini çalma, ağlara erişim sağlama, uzaktan komut yürütme, kötü amaçlı yazılım indirip yürütme veya cihazlardan bilgi çalma gibi çeşitli saldırılar gerçekleştirmesine olanak tanımakta.
Bu 17 güvenlik açığının eklenmesiyle, katalogdaki toplam güvenlik açığı sayısı 341’e çıktı. Katalog ayrıca kurumların hatayı gidermek için hangi tarihe kadar güvenlik güncellemelerini uygulaması gerektiği bilgisini de içeriyor.
Bu hafta eklenen on yedi yeni güvenlik açığı aşağıda listelenmiş durumda. CISA, güvenlik açıklarından 10 tanesinin Şubat ayının ilk haftasına kadar yamalanması gerektiğini belirtiyor.
| CVE Kodu | CVE Açıklaması | Tedbir Alınması Gereken Tarih |
| CVE-2021-32648 | October CMS Uygunsuz Kimlik Doğrulaması | 01/02/2022 |
| CVE-2021-21315 | node.js Komut Enjeksiyon Güvenlik Açığı için Sistem Bilgi Kitaplığı | 01/02/2022 |
| CVE-2021-21975 | vRealize Operations Manager API Güvenlik Açığı’nda Sunucu Tarafı Sahte İstek Açığı | 01/02/2022 |
| CVE-2021-22991 | BIG-IP Trafiği Mikro Çekirdek Arabelleği Taşması Güvenlik Açığı | 01/02/2022 |
| CVE-2021-25296 | Nagios XI OS Komut Enjeksiyon Güvenlik Açığı | 01/02/2022 |
| CVE-2021-25297 | Nagios XI OS Komut Enjeksiyon Güvenlik Açığı | 01/02/2022 |
| CVE-2021-25298 | Nagios XI OS Komut Enjeksiyon Güvenlik Açığı | 01/02/2022 |
| CVE-2021-33766 | Microsoft Exchange Server Bilgi Sızması Güvenlik Açığı | 01/02/2022 |
| CVE-2021-40870 | Aviatrix Controller’da Kısıtlamasız Dosya Yükleme Güvenlik Açığı | 01/02/2022 |
| CVE-2021-35247 | SolarWinds Serv-U Yanlış Giriş Doğrulama Güvenlik Açığı | 04/02/2022 |
| CVE-2020-11978 | Apache Airflow Komut Enjeksiyon Güvenlik Açığı | 18/07/2022 |
| CVE-2020-13671 | Drupal Core Kısıtlamasız Dosya Yükleme Güvenlik Açığı | 18/07/2022 |
| CVE-2020-13927 | Apache Airflow Deneysel API Kimlik Doğrulaması Güvenlik Açığını Atlama | 18/07/2022 |
| CVE-2020-14864 | Oracle Corporate Business Intelligence Enterprise Edition Path Traversal Güvenlik Açığı | 18/07/2022 |
| CVE-2006-1547 | Apache Struts 1 ActionForm Hizmet Reddi Güvenlik Açığı | 21/07/2022 |
| CVE-2012-0391 | Apache Struts 2 Uygunsuz Giriş Doğrulama Güvenlik Açığı | 21/07/2022 |
| CVE-2018-8453 | Microsoft Windows Win32k Ayrıcalık Yükseltme Güvenlik Açığı | 21/07/2022 |
Saldırılarda aktif olarak kullanııldığı açıklanan CVE-2021-32648 ve CVE-2021-35247 güvenlik açıkları ise özellikle ilgi çekici.
CVE-2021-32648 olarak izlenen ‘October CMS Uygunsuz Kimlik Doğrulaması’ güvenlik açığı, son zamanlarda Ukrayna hükümeti web sitelerini hacklemek ve tahrif etmek için kullanılması nedeniyle 1 Şubat 2022’ye kadar yamalanmalıdır.
Ukrayna bu saldırılardan Rusya’yı sorumlu tutarken, bazı güvenlik uzmanları saldırıları ise Ghostwriter olarak bilinen Belarus bağlantılı bir hack grubuna bağlıyor.
CVE-2021-35247 olarak izlenen yeni ‘SolarWinds Serv-U Uygunsuz Giriş Doğrulaması’ güvenlik açığının ise Log4j saldırılarını LDAP sunucuları olarak yapılandırılmış Windows etki alanı denetleyicilerine yaymak için kullanıldığı keşfedildi.
Windows etki alanı denetleyicileri Log4j istismarlarına karşı savunmasız olmadığından Serv-U güvenlik açığını kullanan saldırılar başarısız olsa da, CISA kurumların güvenlik açığını 4 Şubat 2022’ye kadar düzeltmesini şart koşuyor.
Tüm güvenlik uzmanlarının ve yöneticilerin, İstismar Edildiği Bilinen Güvenlik Açıkları Kataloğu’nu gözden geçirmeleri ve ihtiyaçları varsa gerekli düzenlemeleri yapmaları tavsiye edilmektedir.
Kaynak: bleepingcomputer.com
Diğer Haberler
Microsoft, Windows 11’deki Kontrol Paneli Değişikliğinden Vazgeçti
Microsoft, Excel 4.0 Makrolarını Varsayılan Olarak Devre Dışı Bırakıyor
Microsoft Defender for Endpoint Plan 1 Microsoft 365 E3 ve A3 Lisanslarına Dahil Edildi