ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Apple tarafından açıklanan yeni kusurlarla bilgisayar korsanları tarafından aktif olarak sömürülen hatalar listesine yedi güvenlik açığı ekledi. Microsoft, SAP ve Google.
‘Bilinen İstismar Edilen Güvenlik Açıkları Kataloğu’, CISA tarafından paylaşılan ve siber saldırılarda aktif olarak kullanıldığı bilinen ve Federal Sivil Yürütme Şubesi (FCEB) kurumları tarafından yamalanması gereken güvenlik açıklarının bir listesidir.
“Bağlayıcı Operasyonel Direktif (BOD) 22-01: Bilinen Sömürülen Güvenlik Açıklarına İlişkin Önemli Riskin Azaltılması Federal kuruluş için önemli riskler taşıyan bilinen CVE’lerin canlı bir listesi olarak Bilinen İstismar Edilen Güvenlik Açıkları Kataloğu’nu oluşturdu,” diye açıklıyor CISA.
“BOD 22-01, FCEB ağlarını aktif tehditlere karşı korumak için FCEB kurumlarının belirlenen güvenlik açıklarını son tarihe kadar düzeltmesini gerektirir.”
Bu yedi güvenlik açığının eklenmesiyle, katalog artık 801 CVE’yi ve ajansların ilgili yamaları zaten uygulamış olması gereken tarihi içeriyor.
Dün eklenen yedi yeni güvenlik açığı aşağıda listelenmiştir ve CISA, hepsinin 8 Eylül 2022’ye kadar yamalanmasını gerektirir.
| CVE Numarası | Güvenlik Açığı Başlığı |
|---|---|
| CVE-2017-15944 | Palo Alto Networks PAN-OS Uzaktan Kod Yürütme Güvenlik Açığı |
| CVE-2022-21971 | Microsoft Windows Çalışma Zamanı Uzaktan Kod Yürütme Güvenlik Açığı |
| CVE-2022-26923 | Microsoft Active Directory Etki Alanı Hizmetleri Ayrıcalık Yükseltme Güvenlik Açığı |
| CVE-2022-2856 | Google Chrome Amaçları Yetersiz Giriş Doğrulama Güvenlik Açığı |
| CVE-2022-32893 | Apple iOS ve macOS’ta Sınır Dışı Yazma Güvenlik Açığı |
| CVE-2022-32894 | Apple iOS ve macOS’ta Sınır Dışı Yazma Güvenlik Açığı |
| CVE-2022-22536 | SAP Çoklu Ürün HTTP İstek Kaçakçılığı Güvenlik Açığı |
Bu buglar saldırılarda nasıl kullanılıyor?
Hangi güvenlik açıklarından yararlanıldığını bilmek yardımcı olsa da, tehdit aktörlerinin bunları saldırılarda nasıl kullandığına dair hiçbir ayrıntı verilmedi. Aşağıda, yeni eklenen hatalar hakkında bulabileceğimiz ayrıntıları sağladık.
kritik SAP CVE-2022-22536 güvenlik açığı Onapsis tarafından Şubat ayında açıklandı ve 10/10 önem derecesi atanmıştır. CISA, veri hırsızlığına, finansal dolandırıcılık risklerine, görev açısından kritik iş süreçlerinde aksamalara, fidye yazılımı saldırılarına ve tüm operasyonların durmasına yol açabileceğinden, yöneticileri hatayı düzeltmeleri konusunda hızla uyardı.
Şu anda, saldırganların bu hatadan nasıl yararlandığı bilinmiyor, ancak kusurun ayrıntıları geçen hafta BlackHat güvenlik konferansında açıklandı ve teknik ayrıntıların açıklanmasının ardından tehdit aktörleri tarafından hızla kullanıldığı görülüyor.
“Dün, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), kritik bir SAP güvenlik açığını (CVE-2022-22536) ekledi. Bilinen Sömürülen Güvenlik Açıkları Kataloğu Ayrıntıların Onapsis Araştırma Laboratuvarları tarafından Kara Şapka’da açıklanmasından bir haftadan kısa bir süre sonra,” diye açıklıyor Onapsis’in tavsiyesi.
“Bu güvenlik açığı bu yılın başlarında keşfedilmiş olsa da, CISA’dan gelen bu doğrulama, kuruluşların derhal harekete geçmeleri gerektiğini gösteriyor.”
Elma macOS ve iOS/ıpados güvenlik güncellemelerini yayınladı için Çarşamba günü CVE-2022-32893 ve CVE-2022-32894 güvenlik açıkları, güvenlik açığı bulunan cihazlarda kod yürütme gerçekleştirmek için istismar edilebileceklerini açıklıyor.
Apple nasıl kötüye kullanıldıklarına dair ayrıntı vermedi, ancak CVE-2022-32894, kodun Çekirdek ayrıcalıklarıyla yürütülmesine izin verdiğinden, cihazın tamamen ele geçirilmesine izin verecek.
Google CVE-2022-2856 güvenlik açığı Google Chrome’da düzeltildi 104.0.5112.101, Salı günü yayınlandı. Bilgisayar korsanlarının saldırılarda onu nasıl kullandığına dair hiçbir bilgi paylaşılmamış olsa da, güvenlik açığı araştırmacısı Hossein Lotfi, hata hakkında daha fazla ayrıntı keşfetti.
Microsoft, CVE-2022-21971 uzaktan kod yürütme güvenlik açığını düzeltti. Şubat 2022 Yaması Salıancak vahşi doğada nasıl sömürüldüğüne dair hiçbir ayrıntı mevcut değil.
Yine de, CVE-2022-26923 ile Mayıs ayında düzeltilen bir Active Directory Etki Alanı Hizmetleri ayrıcalık yükselmesi güvenlik açığıdır. ‘Certifried’ hatasıyla ilgili teknik detaylar ortaya çıktı.
Bu ayrıntılar, araştırmacıların ve olası tehdit aktörlerinin istismarı yeniden oluşturmasına izin verdi.
Son olarak, dün eklenen en eski güvenlik açığı Palo Altos Networks. CVE-2017-15944 2017’de açıklanan uzaktan kod yürütme güvenlik açığı.
Bu güvenlik açığı ifşa edildi tam teknik ayrıntılarla ve cihazların beş yıl sonra hala savunmasız olması şaşırtıcı olsa da, tehdit aktörlerinin kusuru kötüye kullanması şaşırtıcı değil.
Tüm güvenlik uzmanlarının ve yöneticilerin aşağıdakileri incelemesi şiddetle tavsiye edilir: Bilinen Sömürülen Güvenlik Açıkları Kataloğu ve kendi ortamlarında listelenen hataları yamalayın.