Apple daha önceden açıkladığı gibi Bug Bounty programını tüm güvenlik araştırmacılarına açtı. Program iOS, macOS, watchOS, tvOS, iPadOS ve iCloud’u kapsıyor. Apple, bu sistemlerde bulunan ve programa bildirilen güvenlik açıkları için araştırmacılara bulunan zafiyetin kritiklik seviyelerine göre para ödülü verecek.
Apple’ın üç yıl önce başlattığı Bug Bounty programı, sadece davet ettiği güvenlik araştırmacılarına açıktı ve program kapsamında sadece iOS işletim sistemi için bildirilen güvenlik açıklarına ödül veriliyordu. Apple’ın güncellediği Bug Bounty programında:
- Ödenecek maksimum ödülün 200.000$’dan 1.5 milyon $’a çıkması,
- Kendi bünyesindeki bütün işletim sistemleri ve donanımların son versiyonları için yapılan bildirimlerin hepsini kabul etmesi,
- Programa bütün güvenlik araştırmacılarının katılabilmesi
…gibi önemli değişiklikler bulunuyor. Güvenlik açıkları için ödenecek ödüllerin listesine buradan erişebilirsiniz. Bunun yanı sıra Apple, güncellenen güvenlik zafiyetinin giderildiği sürümlerde bir şekilde zafiyeti hala exploit edebilen araştırmacılara ödülün %50 daha fazlasını ödeyeceğini açıkladı.
Citrix Zafiyeti 80.000 Şirketi Etkiliyor
Citrix ADC (Application Delivery Controller); uygulamaların performansını hızlandıran, 4. ve 7. katman yük dengeleme özelliği ile uygulama kullanılabilirliğini artıran, kritik uygulamaları saldırılara karşı koruyan ve hesaplama açısından yoğun olan işlemleri düşürerek sunucu giderlerini azaltan bir uygulama denetleyicisidir. Unified Gateway ise bu uygulamaların çalıştığı sunucuların yerel ağlarına uzaktan erişim sağlar. Kullanımı yaygın olan Citrix ADC ve Unified Gateway üzerinde kritik bir güvenlik açığı keşfedildi. CVE-2019-19781 koduyla tanımlanan bu güvenlik açığı, saldırganların Citrix ADC ve Unified Gateway yazılımları üzerinde rastgele kod yürütmelerine olanak veriyor. Böylece bu teknolojileri kullanan uygulamalara sahip şirketlerin yerel ağları saldırganların yetkisiz erişimlerine maruz kalıyor.
Zafiyeti keşfeden Positive Technologies’e göre, bu teknolojilerin ilk savunmasız sürümleri 2014 yılında yayınlandı ve 158 farklı ülkede en az 80.000 şirketi risk altında bırakıyor.
Belirtilen zafiyet Citrix ADC ve Unified Gateway’in 10.5, 11.1, 12.0, 12.1 ve 13.0 sürümlerini etkiliyor. Citrix bu durumla ilgili olarak müşterilerini bilgilendirdiğini açıkladı. Yazılımlar üzerinde gerekli düzeltmeler Citrix tarafından ilerleyen zamanlarda yapılacak. Düzeltmeler yapılana kadar zafiyetin etkisini azaltmak için konfigürasyon yapılması gerekmektedir. Gerekli konfigürasyonları buradan inceleyebilirsiniz.
Google Chrome’da Magellan 2.0 Zafiyetleri
İçerisinde 5 farklı zafiyet bulunan ve Macellan 2.0 olarak adlandırılan güvenlik açığı seti Google Chrome’un yeni sürümüyle kapatıldı. Girilen SQL sorgularının SQLite veritabanı tarafından yanlış doğrulanmasından kaynaklanan Magellan 2.0 zafiyeti, Google Chrome 79.03945.79 sürümünden önceki sürümleri etkiliyor. Zafiyet kötüye kullanıldığında saldırganların uzaktan kod çalıştırabilmelerine, program belleğine sızabilmelerine veya programın çökmesine yol açıyor. Magellan 2.0, SQLite kullanan tüm uygulamaları etkilediği gibi WebSQL’in etkin olması durumunda aşağıdaki tarayıcılar da bu zafiyetten etkileniyor;
- Eski sürüm Chrome/Chromium kullanan akıllı cihazlar
- Eski sürüm Chromium/Webview ile oluşturulmuş tarayıcılar
- Eski sürüm Webview kullanan ve herhangi bir web sayfasına erişebilen Android uygulamalar
- Eski sürüm Chromium kullanan ve herhangi bir sayfaya erişebilen yazılımlar
Zafiyet Google Chrome’un 79.0.3945.79 sürümüyle birlikte kapatıldı. Bununla birlikte SQLite da 13 Aralık 2019 tarihinde yayınladığı yamalar ile Magellan 2.0 zafiyetini kapattı, ancak bu yamaları stabil SQLite 3.30.1 sürümüne henüz uygulamadı. Zafiyetten etkilenmemek için en kısa sürede belirtilen uygulamalar üzerinde güvenlik güncelleştirmelerinin yapılması önerilmektedir.
Singapur Siber Saldırıya Maruz Kaldı
Singapur Savunma Bakanlığı’na yönelik siber saldırı gerçekleştirildi. Singapur Savunma Bakanlığı, bilgisayar korsanlarının yaklaşık 100.000 personelin kişisel bilgilerini ele geçirebileceğini açıkladı.
Singapur Savunma Bakanlığı yaptığı açıklamada saldırının iki güvenlik üreticisi ST Lojistik ve HMI Sağlık Bilimleri Enstitüsü üzerinden gerçekleştiğini açıkladı. Hackerların bu iki güvenlik üreticisi tarafından tutulan verilerden savunma personelinin isimleri, kimlik numaraları, irtibat numaraları, e-posta bilgileri ve ikamet adresleri gibi hassas verileri ele geçirdiği belirtildi. ST Lojistik’in, Singapur Silahlı Kuvvetleri ve Savunma Bakanlığı’na ait yaklaşık 2400 personelin kişisel bilgilerini ve HMI Sağlık Bilimleri Enstitüsü’nün ise yaklaşık 98.000 güvenlik gücü personelinin kişisel bilgilerini sistemlerinde tuttuğu belirtildi.