Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-255
  • CWE-522

CVE-2014-1812

Microsoft Windows Grup İlkesi Tercihlerinde Parola Yetki Yükseltme Açığı

Microsoft Windows

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
4550 gün
Kaydı açan
microsoft
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022. Fidye yazılımı saldırılarında da kullanılmış.

ÖzetTürkçe

Microsoft Windows Vista SP2, Windows Server 2008 SP2 ve R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1 ve Windows Server 2012 Gold ile R2 sürümlerindeki Grup İlkesi uygulaması, parolaların dağıtımını düzgün biçimde ele almamaktadır. Bu durum, kimlik doğrulaması yapılmış uzak kullanıcıların SYSVOL paylaşımına erişerek hassas kimlik bilgilerine ulaşmasına ve sonuç olarak ayrıcalık kazanmasına olanak tanımaktadır. Bu açık, Mayıs 2014'te gerçek saldırılarda kullanılmıştır. Microsoft'un "Group Policy Preferences Password Elevation of Privilege Vulnerability" olarak da bilinmektedir.

Kaynaktaki açıklama (İngilizce)

The Group Policy implementation in Microsoft Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, and Windows Server 2012 Gold and R2 does not properly handle distribution of passwords, which allows remote authenticated users to obtain sensitive credential information and consequently gain privileges by leveraging access to the SYSVOL share, as exploited in the wild in May 2014, aka "Group Policy Preferences Password Elevation of Privilege Vulnerability."

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Microsoft Windows Sürüm belirtilmemiş –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.