Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-693

CVE-2013-2465

Oracle Java SE 2D bileşeninde Java sandbox atlatmaya izin veren açık

Oracle Java SE

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
4879 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 28 Mar 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 18 Nis 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Eski Java sürümlerini çalıştıran sistemler, internet üzerinden kolayca ele geçirilebilecek kritik bir riske sahiptir ve açığın gerçek saldırılarda kullanıldığı bilinmektedir. Eski Java sürümleri güncellenmeli veya kaldırılmalıdır. Güncelleme gecikirse veri kaybı ve sistemlerin kontrolünün kaybedilmesi riski vardır.

ÖzetTürkçe

Oracle Java SE içindeki Java Runtime Environment (JRE) bileşeninin 2D alt sisteminde, ayrıntıları açıklanmamış bir güvenlik açığı bulunuyor. Etkilenen sürümler Java SE 7 Update 21 ve öncesi, 6 Update 45 ve öncesi, 5.0 Update 45 ve öncesi ile OpenJDK 7'dir. Başka bir üreticinin iddiasına göre sorun, 2D içindeki "hatalı görüntü kanalı doğrulaması" nedeniyle Java sandbox'ının atlatılmasına yol açıyor; Oracle bu iddiaya yorum yapmamıştır. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor.

Saldırgan ne yapabilir?

Uzaktan saldırgan, kimlik doğrulaması ve kullanıcı etkileşimi gerekmeden gizlilik, bütünlük ve erişilebilirliği etkileyebilir. İddia edilen sandbox atlatma sayesinde kısıtlı Java kodu sistem üzerinde yetkisiz işlem yapabilir.

Kaynaktaki açıklama (İngilizce)

Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle Java SE 7 Update 21 and earlier, 6 Update 45 and earlier, and 5.0 Update 45 and earlier, and OpenJDK 7, allows remote attackers to affect confidentiality, integrity, and availability via unknown vectors related to 2D. NOTE: the previous information is from the June 2013 CPU. Oracle has not commented on claims from another vendor that this issue allows remote attackers to bypass the Java sandbox via vectors related to "Incorrect image channel verification" in 2D.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Oracle Java SE'yi (veya kullanılıyorsa OpenJDK'yı) üreticinin yayımladığı güncellemelere göre güncelleyin; Java 7 Update 21, Java 6 Update 45 ve Java 5.0 Update 45 ile öncesi sürümler etkilenmektedir. Genel öneri
  2. CISA'nın gereklilik talimatı doğrultusunda güncellemeleri üreticinin yönergelerine göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa tarayıcılardaki Java eklentisini devre dışı bırakın ve güvenilmeyen Java uygulamalarının çalışmasını engelleyin. Genel öneri
  4. Ortamdaki tüm Java kurulumlarını envanterleyip eski ve desteği sona ermiş sürümleri kaldırın. Genel öneri

Ek önlemler

  • Java'ya gerçekten ihtiyaç duymayan sunucu ve iş istasyonlarından Java çalışma zamanını kaldırın. Genel öneri
  • Java tabanlı uygulamaları en az yetkili kullanıcı hesabıyla çalıştırın ve ağ erişimini gerektiği kadar kısıtlayın. Genel öneri
  • Java işlemlerinden gelen olağandışı süreç oluşturma ve dış bağlantı davranışlarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Java SE Sürüm belirtilmemiş –

Kaynaklar27 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.