Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar

CVE-2010-0840

Oracle Java SE JRE'de uzaktan kod çalıştırmaya yol açan güven kontrolü açığı

Oracle Java Runtime Environment (JRE)

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
6053 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 May 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Haz 2022.

Yönetici özeti

Eski Java sürümlerindeki bu kritik açık, saldırganların sistemleri uzaktan ele geçirmesine imkan tanıyabilir ve aktif olarak istismar edildiği bilinmektedir. Bu Java sürümlerini kullanan sistemlerin vakit kaybetmeden güncellenmesi veya kullanımdan kaldırılması gerekir. Aksi halde veri kaybı ve hizmet kesintisi riski vardır.

ÖzetTürkçe

Oracle Java SE ve Java for Business içindeki Java Runtime Environment (JRE) bileşeninde, kimlik doğrulama gerektirmeden ağ üzerinden istismar edilebilen belirtilmemiş bir güvenlik açığı bulunmaktadır. Etkilenen sürümler 6 Update 18, 5.0 Update 23 ve 1.4.2_25'tir. Bir araştırmacının iddiasına göre sorun, ayrıcalıklı metotlar çalıştırılırken yapılan hatalı kontrollerle ilgilidir ve güvenilen bir sınıfı genişleten nesne veya arayüzlerdeki benzer bir güven sorunu üzerinden istismar edilebilir; Oracle bu iddiaları doğrulamamıştır. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Saldırgan uzaktan, herhangi bir yetki veya kullanıcı etkileşimi olmadan gizlilik, bütünlük ve erişilebilirliği etkileyebilir; araştırmacı iddialarına göre rastgele kod çalıştırabilir.

Kaynaktaki açıklama (İngilizce)

Unspecified vulnerability in the Java Runtime Environment component in Oracle Java SE and Java for Business 6 Update 18, 5.0 Update 23, and 1.4.2_25 allows remote attackers to affect confidentiality, integrity, and availability via unknown vectors. NOTE: the previous information was obtained from the March 2010 CPU. Oracle has not commented on claims from a reliable researcher that this is related to improper checks when executing privileged methods in the Java Runtime Environment (JRE), which allows attackers to execute arbitrary code via (1) an untrusted object that extends the trusted class but has not modified a certain method, or (2) "a similar trust issue with interfaces," aka "Trusted Methods Chaining Remote Code Execution Vulnerability."

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Oracle'ın bu açık için yayımladığı güncellemeleri (Mart 2010 Critical Patch Update) üretici talimatlarına göre uygulayın. Genel öneri
  2. CISA'nın gerekli eylemi doğrultusunda güncellemeleri üretici talimatlarına uygun şekilde uygulayın. CISA
  3. Etkilenen Java 6 Update 18, 5.0 Update 23 ve 1.4.2_25 sürümlerinin kullanıldığı sistemleri envanterden tespit edin ve desteklenen, güncel bir Java sürümüne geçirin. Genel öneri
  4. Güncelleme hemen yapılamıyorsa, eski Java çalışma ortamlarını internete açık sistemlerden ve web tarayıcılarından kaldırın veya devre dışı bırakın. Genel öneri

Ek önlemler

  • Artık desteklenmeyen Java sürümlerini ortamınızdan tamamen kaldırın. Genel öneri
  • Java çalıştıran sunucuları ağ erişimi kısıtlı tutun ve gereksiz hizmetleri dışarıya açmayın. Genel öneri
  • Java süreçlerinden beklenmeyen alt süreç başlatma ve olağandışı ağ bağlantılarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Java Runtime Environment (JRE) Sürüm belirtilmemiş –

Kaynaklar27 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.