Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22

CVE-2015-4068

Arcserve UDP'de dizin geçişi (directory traversal) açığı

Arcserve Unified Data Protection (UDP)

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
4170 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Mar 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Nis 2022.

Yönetici özeti

Yedekleme yazılımındaki bu kritik açık, internetten herhangi bir kimlik bilgisi olmadan istismar edilebilmekte ve gerçek saldırılarda kullanıldığı bilinmektedir. Şirket verilerinin sızması veya yedekleme hizmetinin durması riski vardır. Güncelleme bir an önce uygulanmalıdır.

ÖzetTürkçe

Arcserve Unified Data Protection (UDP) ürününün 5.0 Update 4 öncesi sürümlerinde reportFileServlet ve exportServlet servletlerinde dizin geçişi (directory traversal) zafiyeti bulunmaktadır. Saldırgan, özel hazırlanmış bir dosya yolu göndererek bu servletleri istismar edebilir. Açık, kimlik doğrulaması gerektirmeden ağ üzerinden uzaktan sömürülebilir ve CISA tarafından aktif olarak istismar edilen açıklar listesine (KEV) alınmıştır.

Saldırgan ne yapabilir?

Uzaktan saldırgan sunucudaki hassas bilgilere erişebilir veya hizmet reddi (DoS) durumu oluşturabilir. Yedekleme sistemi üzerindeki verilerin gizliliği ve hizmetin sürekliliği risk altındadır.

Kaynaktaki açıklama (İngilizce)

Directory traversal vulnerability in Arcserve UDP before 5.0 Update 4 allows remote attackers to obtain sensitive information or cause a denial of service via a crafted file path to the (1) reportFileServlet or (2) exportServlet servlet.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Arcserve UDP'yi 5.0 Update 4 veya daha yeni bir sürüme güncelleyin. Genel öneri
  2. Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
  3. Güncelleme yapılana kadar UDP yönetim arayüzüne erişimi güvenlik duvarı ile yalnızca güvenilir yönetim ağlarına sınırlayın ve internetten erişimi kapatın. Genel öneri

Ek önlemler

  • Yedekleme yönetim arayüzünü internete açmayın; erişimi VPN veya IP kısıtlaması ile sınırlayın. Genel öneri
  • reportFileServlet ve exportServlet isteklerinde olağandışı dosya yolu girişimlerini web sunucusu ve uygulama günlüklerinden izleyin. Genel öneri
  • Sistemin istismar edilmiş olabileceği durumda hassas yapılandırma dosyalarını ve kimlik bilgilerini gözden geçirip yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Arcserve Unified Data Protection (UDP) Sürüm belirtilmemiş –

Kaynaklar6 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.