- Aktif istismar
- CWE-94
CVE-2018-1273
Spring Data Commons özellik bağlayıcısında uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 26 Ağu 2026
- Açık yaşı
- 3122 gün
- Kaydı açan
- dell
Yönetici özeti
Bu açık, dışarıdan herhangi birinin giriş yapmadan sunucunuzda komut çalıştırmasına izin verebilir ve aktif olarak istismar edildiği bilinmektedir. Etkilenen Spring bileşenini kullanan sistemlerde veri sızıntısı veya hizmet kesintisi riski yüksektir. Güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
Spring Data Commons'ın özellik bağlayıcısında (property binder) özel karakterler düzgün temizlenmediği için bir kod enjeksiyonu açığı bulunuyor. Etkilenen sürümler 1.13 ile 1.13.10 arası, 2.0 ile 2.0.5 arası ve eski, desteklenmeyen sürümlerdir. Kimlik doğrulaması olmayan bir saldırgan, Spring Data REST tabanlı HTTP kaynaklarına veya Spring Data'nın projeksiyon tabanlı istek verisi bağlamasına özel hazırlanmış istek parametreleri göndererek açığı tetikleyebilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan uzaktan sunucuda kod çalıştırabilir ve uygulamanın gizlilik, bütünlük ve erişilebilirlik güvenliğini tamamen ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
Spring Data Commons, versions prior to 1.13 to 1.13.10, 2.0 to 2.0.5, and older unsupported versions, contain a property binder vulnerability caused by improper neutralization of special elements. An unauthenticated remote malicious user (or attacker) can supply specially crafted request parameters against Spring Data REST backed HTTP resources or using Spring Data's projection-based request payload binding hat can lead to a remote code execution attack.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Spring Data Commons'ı satıcının yayımladığı düzeltilmiş sürüme yükseltin; 1.13.x ve 2.0.x hatları için düzeltme içeren sürümlere geçin, eski ve desteklenmeyen sürümleri kullanmayı bırakın. Genel öneri
- CISA KEV gereği güncellemeleri satıcı talimatlarına göre uygulayın. CISA
- Hangi uygulamalarınızın Spring Data REST veya projeksiyon tabanlı istek bağlama kullandığını envanterden tespit edip öncelikli olarak güncelleyin. Genel öneri
- Güncelleme hemen yapılamıyorsa etkilenen uygulamaya erişimi güvenilir ağlarla sınırlayın veya önüne bir web uygulama güvenlik duvarı (WAF) koyarak şüpheli parametreleri engelleyin. Genel öneri
Ek önlemler
- Uygulama günlüklerinde ve web sunucusu kayıtlarında alışılmadık istek parametrelerini ve beklenmeyen süreç oluşumlarını izleyin. Genel öneri
- Uygulamayı en düşük yetkili bir hesapla çalıştırın ki olası bir istismarın etkisi sınırlı kalsın. Genel öneri
- Bağımlılık tarama araçlarıyla Spring bileşenlerinin sürümlerini düzenli olarak denetleyin. Genel öneri
- Güncelleme öncesinde sistem istismar edilmiş olabilir; olağandışı etkinlik ve yetkisiz değişiklikler için sunucuyu inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Spring by Pivotal Spring Framework | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.