Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-284

CVE-2011-3544

Oracle Java SE JRE'de Scripting bileşeninde uzaktan kod çalıştırma açığı

Oracle Java SE JDK and JRE

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
5487 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Mar 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 24 Mar 2022.

Yönetici özeti

Eski Java sürümlerindeki bu kritik açık, kötü amaçlı bir web sayfası veya uygulama aracılığıyla bilgisayarların ele geçirilmesine yol açabilir ve aktif olarak istismar edildiği bilinmektedir. Eski Java kullanan sistemlerin vakit kaybetmeden güncellenmesi veya Java'nın kaldırılması gerekir.

ÖzetTürkçe

Oracle Java SE JDK ve JRE 7 ile 6 Update 27 ve öncesi sürümlerin Java Runtime Environment bileşeninde, Scripting ile ilgili ayrıntıları açıklanmamış bir güvenlik açığı bulunuyor. Güvenilmeyen Java Web Start uygulamaları ve Java applet'leri bu açığı kullanarak gizlilik, bütünlük ve erişilebilirliği etkileyebiliyor. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor ve aktif olarak istismar edildiği bilinuyor. Etkilenen sürümleri çalıştıran sistemler risk altındadır.

Saldırgan ne yapabilir?

Saldırgan, kötü amaçlı bir Java applet'i veya Web Start uygulaması aracılığıyla sistem üzerinde kod çalıştırıp verilere erişebilir, bunları değiştirebilir veya hizmeti aksatabilir. Saldırı ağ üzerinden, kimlik doğrulaması gerekmeden gerçekleştirilebilir.

Kaynaktaki açıklama (İngilizce)

Unspecified vulnerability in the Java Runtime Environment component in Oracle Java SE JDK and JRE 7 and 6 Update 27 and earlier allows remote untrusted Java Web Start applications and untrusted Java applets to affect confidentiality, integrity, and availability via unknown vectors related to Scripting.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Oracle Java SE JDK ve JRE'yi, üreticinin talimatlarına uygun olarak açığın giderildiği güncel bir sürüme yükseltin; 7 ve 6 Update 27 ve öncesi sürümleri kullanmaya devam etmeyin. Genel öneri
  2. CISA'nın gerekli eylemi doğrultusunda güncellemeleri üreticinin yönergelerine göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa tarayıcılardaki Java eklentisini ve Java Web Start'ı devre dışı bırakın; Java gerekmiyorsa sistemden kaldırın. Genel öneri

Ek önlemler

  • Ortamlardaki Java kurulumlarının envanterini çıkarın ve desteği sona ermiş eski sürümleri tespit edip kaldırın. Genel öneri
  • Güvenilmeyen kaynaklardan gelen Java applet'lerinin ve Web Start uygulamalarının çalışmasına izin vermeyin. Genel öneri
  • Java sürecinin beklenmedik alt süreçler başlatmasını ve olağan dışı ağ bağlantılarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Java SE JDK and JRE Sürüm belirtilmemiş –

Kaynaklar17 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.