Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2018-14839

LG N1A1 NAS cihazlarında uzaktan komut çalıştırma açığı

LG N1A1 NAS

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2723 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Mar 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Nis 2022.

Yönetici özeti

Şirket veya kurum ağında LG N1A1 NAS cihazı kullanılıyorsa, saldırganlar bu cihazı internet veya iç ağ üzerinden kolayca ele geçirebilir ve saklanan dosyalara erişebilir. Açığın aktif olarak istismar edildiği bilindiği için acil önlem alınması gerekir.

ÖzetTürkçe

LG N1A1 NAS cihazının 3718.510 sürümünde, HTTP POST isteğiyle gönderilen parametreler üzerinden işletim sistemi komutu enjeksiyonuna (CWE-78) izin veren bir açık bulunuyor. Saldırgan kimlik doğrulaması gerekmeden ağ üzerinden istek göndererek rastgele kod çalıştırabilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor ve CVSS puanı 9.8 (kritik) olarak değerlendirilmiş.

Saldırgan ne yapabilir?

Saldırgan uzaktan, kimlik doğrulaması olmadan cihaz üzerinde istediği kodu çalıştırarak cihazı tamamen ele geçirebilir. Bu durum depolanan verilerin okunmasına, değiştirilmesine veya silinmesine ve cihazın hizmet dışı bırakılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

LG N1A1 NAS 3718.510 is affected by: Remote Command Execution. The impact is: execute arbitrary code (remote). The attack vector is: HTTP POST with parameters.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Üreticinin yayımladığı güncelleme talimatlarını uygulayın ve cihazın yazılımını üreticinin sunduğu düzeltilmiş sürüme yükseltin (CISA KEV gerekliliği: güncellemeleri üretici talimatlarına göre uygulayın). CISA
  2. Güncelleme hemen uygulanamıyorsa cihazın web yönetim arayüzüne internetten erişimi kapatın ve erişimi yalnızca güvenilir yönetim ağlarıyla sınırlayın. Genel öneri
  3. Üretici desteği sona ermişse ve düzeltme sunulmuyorsa cihazı ağdan çıkarmayı ve verileri yedekledikten sonra desteklenen bir çözümle değiştirmeyi değerlendirin. Genel öneri

Ek önlemler

  • NAS cihazlarını doğrudan internete açmayın; uzaktan erişim gerekiyorsa VPN kullanın. Genel öneri
  • Cihaza gelen şüpheli HTTP POST isteklerini ve beklenmedik süreç veya ağ bağlantılarını izleyin. Genel öneri
  • Cihazın ele geçirilmiş olabileceği ihtimaline karşı yönetici parolalarını değiştirin ve yedeklerin çevrimdışı kopyasını tutun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
LG N1A1 NAS Sürüm belirtilmemiş –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.