- Aktif istismar
- CWE-20
- CWE-77
CVE-2007-3010
Alcatel OmniPCX Enterprise Unified Maintenance Tool'da uzaktan komut çalıştırma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 6979 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu açık, saldırganların şirketin telefon santraline internet üzerinden şifresiz erişip tam kontrol sağlamasına izin veriyor. Açığın aktif olarak istismar edildiği bilindiği için risk yüksektir. Etkilenen sistemlerin vakit kaybetmeden güncellenmesi veya erişimin kısıtlanması gerekir.
ÖzetTürkçe
Alcatel OmniPCX Enterprise Communication Server R7.1 ve öncesi sürümlerdeki Unified Maintenance Tool bileşeninde yer alan masterCGI, ping işlemi sırasında user parametresindeki kabuk özel karakterlerini yeterince denetlemiyor. Bu nedenle komut enjeksiyonu mümkün hale geliyor. Açık kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebiliyor ve CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Uzaktan saldırgan, sunucu üzerinde kimlik doğrulaması olmadan rastgele komutlar çalıştırabilir. Bu durum telefon santralinin tamamen ele geçirilmesine, gizliliğin, bütünlüğün ve erişilebilirliğin kaybına yol açabilir.
Kaynaktaki açıklama (İngilizce)
masterCGI in the Unified Maintenance Tool in Alcatel OmniPCX Enterprise Communication Server R7.1 and earlier allows remote attackers to execute arbitrary commands via shell metacharacters in the user parameter during a ping action.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Üretici talimatlarına göre Alcatel OmniPCX Enterprise için yayımlanmış güncellemeleri uygulayın; R7.1 ve öncesi sürümlerden yükseltme yapın. Genel öneri
- CISA KEV gerekliliği doğrultusunda güncellemeleri üretici talimatlarına uygun şekilde uygulayın. CISA
- Güncelleme hemen yapılamıyorsa Unified Maintenance Tool arayüzüne erişimi güvenlik duvarı ile yalnızca güvenilir yönetim ağlarıyla sınırlandırın ve internetten erişimi tamamen kapatın. Genel öneri
Ek önlemler
- Telefon santrali yönetim arayüzlerini internete açmayın; yalnızca VPN veya ayrı bir yönetim ağı üzerinden erişime izin verin. Genel öneri
- Web sunucusu ve santral günlüklerinde masterCGI'ye yönelik, user parametresinde kabuk özel karakterleri içeren şüpheli istekleri izleyin. Genel öneri
- Güncelleme sonrasında sistemde yetkisiz hesap, beklenmeyen süreç veya yapılandırma değişikliği olup olmadığını kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Alcatel OmniPCX Enterprise | Sürüm belirtilmemiş | – |
Kaynaklar11 kaynak
- CVE.org kaydı
- NVD kaydı
- secunia.com/advisories/26853 Üçüncü taraf
- vupen.com/english/advisories/2007/3185 Diğer
- redteam-pentesting.de/advisories/rt-sa-2007-001.php Diğer
- www1.alcatel-lucent.com/psirt/statements/2007002/OXEUMT.htm Diğer
- marc.info Diğer
- osvdb.org/40521 Diğer
- securityfocus.com/archive/1/479699/100/0/threaded Diğer
- exchange.xforce.ibmcloud.com/vulnerabilities/36632 Diğer
- securityfocus.com/bid/25694 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.