- Aktif istismar
- CWE-284
- CWE-321
CVE-2016-4437
Apache Shiro'da "remember me" anahtarı kaynaklı uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3795 gün
- Kaydı açan
- redhat
Yönetici özeti
Apache Shiro kullanan uygulamalar, belirli bir yapılandırma eksikliği nedeniyle internet üzerinden herhangi biri tarafından ele geçirilebilir. Zafiyet aktif olarak istismar edildiği için acil yama yapılması gerekir. Gecikme, veri sızıntısı ve hizmet kesintisi riskini artırır.
ÖzetTürkçe
Apache Shiro'nun 1.2.5 öncesi sürümlerinde, "remember me" özelliği için şifreleme anahtarı yapılandırılmadığında kimlik doğrulaması olmadan uzaktan kod çalıştırma ve erişim kısıtlamalarını aşma mümkün hale gelir. Sorun, belirtilmeyen bir istek parametresi üzerinden istismar edilebilir. Zafiyet CWE-284 ve CWE-321 (sabit kodlanmış şifreleme anahtarı) kapsamında sınıflandırılmıştır. Bu güvenlik açığı CISA'nın bilinen istismar edilen zafiyetler (KEV) listesindedir.
Saldırgan ne yapabilir?
Uzaktan ve kimlik doğrulaması olmadan saldırgan, etkilenen sunucuda keyfi kod çalıştırabilir veya erişim kısıtlamalarını aşabilir. Bu durum sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Apache Shiro before 1.2.5, when a cipher key has not been configured for the "remember me" feature, allows remote attackers to execute arbitrary code or bypass intended access restrictions via an unspecified request parameter.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Apache Shiro'yu 1.2.5 veya daha yeni bir sürüme yükseltin; üretici talimatlarına göre güncellemeyi uygulayın. Genel öneri
- CISA'nın gerektirdiği şekilde güncellemeleri üretici yönergelerine uygun biçimde uygulayın. CISA
- Güncelleme yapılana kadar "remember me" özelliği için güçlü, rastgele üretilmiş ve her kuruluma özgü bir şifreleme anahtarı yapılandırın ya da özelliği devre dışı bırakın. Genel öneri
- Daha önce varsayılan veya paylaşılan bir anahtar kullanıldıysa, bu anahtarı değiştirin ve sistemde istismar izi olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Uygulamalarda hangi Apache Shiro sürümünün kullanıldığını envanter ve bağımlılık taramasıyla tespit edin, kütüphaneyi içeren üçüncü taraf ürünleri de kontrol edin. Genel öneri
- Şifreleme anahtarlarını kaynak kodunda veya paylaşılan yapılandırmada tutmayın; gizli bilgi yönetimi kullanın. Genel öneri
- Web sunucusu ve uygulama günlüklerinde olağandışı "remember me" çerezlerini ve beklenmedik süreç çalışmalarını izleyin. Genel öneri
- Uygulama sunucusunu en düşük yetkilerle çalıştırın ve mümkünse internete doğrudan açmayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Shiro | Sürüm belirtilmemiş | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- rhn.redhat.com/errata/RHSA-2016-2035.html Üretici bülteni
- rhn.redhat.com/errata/RHSA-2016-2036.html Üretici bülteni
- lists.apache.org/…c3c4c4%40%3Cannouncements.aurora.apache.org%3E Diğer
- packetstormsecurity.com/…Apache-Shiro-1.2.4-Information-Disclosure.html Diğer
- securityfocus.com/bid/91024 Diğer
- securityfocus.com/archive/1/538570/100/0/threaded Diğer
- packetstormsecurity.com/…/Apache-Shiro-1.2.4-Remote-Code-Execution.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.