Cloudflare, ücretsiz ve açık kaynaklı CDNJS’sinde bulunan ve potansiyel olarak internetteki tüm web sitelerinin %12.7’sini etkileyen kritik bir güvenlik açığını düzeltti. CDNJS, GitHub’da herkese açık 4.000’den fazla JavaScript ve CSS kitaplığıyla milyonlarca web sitesine hizmet veren dünyanın ikinici en büyük JavaScript CDN konumunda bulunuyor.
Güvenlik açığı, GitHub ve npm kullanarak Cloudflare’nin CDNJS’sine paketler yayınlamayı ve uzaktan kod yürütmeye izin veriyordu.
“ZIP Slip” Remote Code Execution
İçerik dağıtım ağları (CDN’ler), web sitelerinin büyük çoğunluğu popüler JavaScript kitaplıklarını ve CSS komut dosyalarını yüklemek için bu hizmetlere güvendiğinden, İnternet’in güvenliğini, bütünlüğünü ve kullanılabilirliğini korumada kritik bir rol oyunor. CDN’ler, ele geçirilirse saldırının birçok web sitesi, çevrimiçi mağaza ve müşterileri için büyük risk teşkil edebilir. Bu yüzden CDN’ler hacker’lar için iyi hedef olarak duruyor.
Güvenlik araştırmacısı RyotaK, cdnjs.com’u incelerken CDNJS’de olmayan kitaplıkların CDNJS’nin GitHub deposu aracılığıyla yeni kitaplığın eklenebildiğini fark etti. Sonrasında RyotaK sunucularda RCE yapılabildiğini keşfetti.
Cloudflare, Zafiyeti Gidermek İçin Bir Çok Güncelleme Yayınladı
Araştırmacı, 6 Nisan 2021’de HackerOne’ın güvenlik açığı açıklama programı aracılığıyla bu güvenlik açığını Cloudflare’a bildirdi ve Cloudflare ekibinin saatler içinde güncelleme yaptığı görüldü.
Bununla birlikte, araştırmacıya göre, CDNJS ekosisteminin karmaşıklığı nedeniyle, sonraki haftalarda farklı depolara bir dizi daha düzeltme uygulandı.
Cloudflare sözcüsü yaptığı açıklamada “Araştırmacı bize 6 Nisan’da bulguları bildirdi ve sorunu 24 saat içinde düzelttik, Ayrıca, özellikle ödül programımızı genişletirken ve zaman içinde daha halka açık hale getirirken, giderek daha fazla araştırmacının bunun gibi şeyler yayınladığını göreceğimizi belirtmek önemlidir” dedi.
Kaynak: bleepingcomputer.com
