Cisco Adaptive Security Appliance (ASA) ve Cisco Firepower Threat Defense (FTD) yazılımlarında yüksek önem derecesine sahip bir Path Traversal zafiyeti keşfedildi. CVE-2020-3452 kodlu bu zafiyet, saldırganların hedef sistemdeki hassas dosyaları okumalarına izin veriyor.
Zafiyet, HTTP isteklerindeki URL adreslerinin yetersiz kontrolünden kaynaklanıyor. Cisco yayınladığı belgede, bir saldırganın hedef sisteme özel hazırlanmış bir HTTP isteği göndererek zafiyetten yararlanabileceğini ve dosya sistemindeki tüm dosyaların içeriğini görüntüleyebileceğini belirtiyor. Zafiyeti Cisco’ya bildiren Mikhail Klyuchnikov (Positive Technologies) ve Ahmed Aboul-Ela (RedForce) tarafından yapılan açıklamada ise; verilerin RAM’de depolandığı dosya sistemi RamFS’e erişmek için, hedef sisteme özel hazırlanmış bir HTTP isteği gönderilerek zafiyetten yararlanabileceği belirtildi.
Zafiyetten yararlanan bir saldırgan, sadece dosya sistemindeki dosyaları okuyabiliyor. WebVPN ve AnyConnect özellikleri için etkinleştirilen dosya sistemindeki dosyaları okuyan bir saldırgan; WebVPN konfigürasyonu, yer işaretleri, web çerezleri, web içeriği, HTTP URL’leri gibi bilgilere ulaşabiliyor.
Cisco, zafiyetin giderilmesi için güvenlik güncelleştirmeleri yayınladı. Saldırılardan etkilenmemek için en kısa sürede güvenlik güncelleştirmelerinin yapılması önerilmektedir. Güncelleştirmeler ile ilgili detaylı bilgiye buradan ulaşabilirsiniz. Sisteminizin zafiyetli olup olmadığını kontrol etmek için, Nmap tarafından sunulan http-vuln-cve2020-3452 adlı script’i kullanarak güvenlik taraması gerçekleştirebilirsiniz.
Microsoft Office Güvenlik Açıkları Saldırganlar Tarafından Kullanılmaya Devam Ediyor
Kurumsal ve bireysel kullanıcıların kullandığı Microsoft Office uygulamalarında keşfedilen güvenlik açıkları, saldırganlar tarafından aktif olarak kullanılmaya devam ediyor. Daha önce yayınlanan siber tehdit raporlarında, saldırganlar tarafından yapılan saldırılarda çoğunlukla PDF uzantılı dosyaların kullanıldığı belirtiliyor. 2020 yılında SonicWall tarafından yayınlanmış olan son raporda ise, saldırganların saldırılarda çoğunlukta Microsoft Office dosyalarını kullandığı belirtildi.
Raporda, 2019 yılının ilk yarısında yapılan siber saldırılarda Microsoft Office dosyalarının kullanımı PDF uzantılı dosyaların kullanımından az iken, 2020’nin ilk yarısında siber saldırılarda kullanılan zararlı dosyaların %22.4’ünü oluşturan Microsoft Office dosyalarının PDF uzantılı dosyalardan daha çok kullanıldığı belirtildi.
Rapora göre, zararlı yazılımlarda en çok kullanılan güvenlik açıklarının, Microsoft Office 2007’den bu yana Microsoft Word uygulamasının tüm sürümlerindeki Denklem Düzenleyicisinde (Equation Editor) bulunan CVE-2017-11882 ve CVE-2018-0802 kodlu güvenlik açıkları olduğu belirtiliyor. Saldırılardan etkilenmemek için gerekli güncelleştirmelerin yapılması gerekmektedir.
QSnatch Zararlı Yazılımı Qnap Nas Cihazlarını Hedef Alıyor
ABD ve İngiltere’deki siber güvenlik ajansları, QNAP şirketinin ağa bağlı veri depolama (NAS) cihazlarını etkileyen ve veri ihlaline neden olan zararlı yazılım için ortak bir rapor yayılandı. QSnatch olarak adlandırılan zararlı yazılımın son sürümünün; SSH backdoor oluşturma, kullanıcı parolalarını yakalama ve bulunduğu cihazın güncelleme yapmasını engelleme gibi özellikler taşıdığı belirtildi.
Yayınlanan rapora göre, zararlı yazılımın Ekim ayından bu yana Batı Avrupa ve Kuzey Amerika’da bulunan yaklaşık 62.000 cihazı etkilediği belirtildi. Ayrıca, zararlı yazılım hedef cihaza yüklendikten sonra, cihazın güncelleme yapamadığı belirtildi. ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA) ve İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) bu durumla ilgili olarak; ABD‘de yaklaşık 7.600 ve İngiltere‘de 3.900 cihazın etkilendiğini, Alman Bilgisayar Acil Müdahale Ekibi (CERT-Bund) ise, Almanya‘da 7000‘den fazla NAS cihazının etkilendiğini açıkladı.
QSnatch zararlı yazılımına karşı alınabilecek önlemlere buradan ulaşabilirsiniz.
Apple, Güvenlik Araştırmacıları İçin Özel Cihaz Çıkardı
Apple, iPhone’ların güvenlik testlerini kolaylaştırmak ve testlerde verimliliği arttırmak için “Security Research Device (SRD)”’ı duyurdu. SRD’nin, yalnızca Apple’ın belirlediği güvenlik araştırmacılarına verilecek özelleştirilmiş bir iPhone olduğu belirtildi.
SRD, güvenlik testlerini kolaylaştırmak için cihaz üzerinde istenilen haklarla shell erişimi elde etmeyi ve uygulama çalıştırmayı mümkün kılıyor. Apple, güvenlik araştırmacılarından SDR’ı kullanarak buldukları güvenlik zafiyetlerini doğrudan Apple’a bildirmelerini istiyor. Apple, bildirilen güvenlik zafiyetinin kritikliğine ve etkisine göre zafiyeti bildiren araştırmacıyı kendi bug bounty programı kapsamında ödüllendireceğini belirtiyor ve araştırmacının Apple’ın belirlediği tarihe kadar bulduğu güvenlik açığı hakkında herhangi bir açıklama yapmamasını istiyor.
Apple’ın SDR Programına başvuran adaylarda aradığı özellikler aşağıda yer almaktadır:
- Apple Developer programında bir hesaba sahip olmak
- iOS, MacOS ya da diğer modern işletim sistemlerinde güvenlik açıkları bulma konusunda kendini ispatlamış olmak
- ABD’nin ambargo uygulamadığı bir ülkede bulunmak
- 18 yaşının üzerinde olmak,
- Son 12 ay içinde Apple’da çalışmamış olmak