ZScaler’da üç adet kritik zafiyet (CVE-2023-41972, CVE-2023-41973, CVE-2023-41969) tespit edildi. Bu zafiyetler beraber kullanıldığında sistem üzerinde yetki yükseltilmesine izin veriyor.
ZScaler Client Connector Nedir?
ZScaler Client Connector, kullanıcıların bulut tabanlı uygulamalara güvenli ve hızlı bir şekilde erişimini sağlayan bir araç.
- Güvenli Erişim Sağlama: Kullanıcıların herhangi bir yerden, herhangi bir cihazdan güvenli bir şekilde bulut tabanlı uygulamalara erişmelerini sağlar.
- Veri Şifreleme: Kullanıcı trafiğini şifreleyerek, verilerin güvenli bir şekilde iletilmesini sağlar. Bu, hassas bilgilerin izinsiz erişime karşı korunmasını sağlar.
- Zararlı Yazılımları Engelleyici Özellikler: Ağa zararlı yazılımların girmesini engelleyerek, kuruluşların güvenlik risklerini azaltır.
- Hibrit Çalışma Ortamlarına Destek: Kuruluşların hibrit çalışma modeline geçişini destekler ve kullanıcıların herhangi bir zamanda ve herhangi bir yerden güvenli bir şekilde çalışmasını sağlar.
GovTech’in Siber Güvenlik Grubu (CSG), Zscaler Zero Trust Network Access ürünlerini incelemek için CSIT ile işbirliği yaptı. İnceleme sırasında, ZScaler Client Connector (4.2.1 sürümünden öncesi) bir dizi zafiyet keşfedildi ve Zscaler bu zafiyetlere CVE numaraları verdi:
- Incorrect type validation in password validation (CVE-2023-41972)
- Missing input validation in Zscaler Client Connector allows arbitrary code execution (CVE-2023-41973)
- ZSATrayManager: Arbitrary deletion of files (CVE-2023-41969)
Bu zafiyetlerin bir araya getirilmesiyle, güvenlik araştırmacıları Eugene Lim ve Winston Ho, Windows’ta standart bir kullanıcının ayrıcalıklarını yükselterek NT AUTHORITY\SYSTEM hizmet hesabı ile komutlar çalıştırmayı başardılar. Bu nedenle ürünün son sürüme yükseltilmesi büyük önem taşıyor.
