- Aktif istismar
- Yama var
- CWE-22
CVE-2018-18809
TIBCO JasperReports ürünlerinde dizin geçişi (directory traversal) açığı
TIBCO Software Inc. TIBCO JasperReports LibraryTIBCO Software Inc. TIBCO JasperReports Library Community EditionTIBCO Software Inc. TIBCO JasperReports Library for ActiveMatrix BPM
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2791 gün
- Kaydı açan
- tibco
Yönetici özeti
Raporlama yazılımındaki bu açık, saldırganların sunucudaki dosyalara yetkisiz erişmesine yol açabilir ve aktif olarak istismar edildiği bilinmektedir. Kritik seviyede olduğundan etkilenen sistemlerin vakit kaybetmeden güncellenmesi gerekir.
ÖzetTürkçe
TIBCO JasperReports Library ve JasperReports Server ürün ailesinin varsayılan sunucu uygulamasında bir dizin geçişi (directory traversal, CWE-22) açığı bulunuyor. Bu açık, web sunucusu kullanıcılarının ana sistemdeki içeriklere erişmesine imkân verebilir. Etkilenen ürünler arasında Library, Community Edition, ActiveMatrix BPM sürümleri, Server ve AWS için Jaspersoft paketleri yer alıyor. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Düşük yetkili bir saldırgan ağ üzerinden sunucudaki dosya ve içeriklere erişebilir. CVSS vektörü gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki ve kapsam değişikliği gösteriyor.
Kaynaktaki açıklama (İngilizce)
The default server implementation of TIBCO Software Inc.'s TIBCO JasperReports Library, TIBCO JasperReports Library Community Edition, TIBCO JasperReports Library for ActiveMatrix BPM, TIBCO JasperReports Server, TIBCO JasperReports Server Community Edition, TIBCO JasperReports Server for ActiveMatrix BPM, TIBCO Jaspersoft for AWS with Multi-Tenancy, and TIBCO Jaspersoft Reporting and Analytics for AWS contains a directory-traversal vulnerability that may theoretically allow web server users to access contents of the host system. Affected releases are TIBCO Software Inc.'s TIBCO JasperReports Library: versions up to and including 6.3.4; 6.4.1; 6.4.2; 6.4.21; 7.1.0; 7.2.0, TIBCO JasperReports Library Community Edition: versions up to and including 6.7.0, TIBCO JasperReports Library for ActiveMatrix BPM: versions up to and including 6.4.21, TIBCO JasperReports Server: versions up to and including 6.3.4; 6.4.0; 6.4.1; 6.4.2; 6.4.3; 7.1.0, TIBCO JasperReports Server Community Edition: versions up to and including 6.4.3; 7.1.0, TIBCO JasperReports Server for ActiveMatrix BPM: versions up to and including 6.4.3, TIBCO Jaspersoft for AWS with Multi-Tenancy: versions up to and including 7.1.0, TIBCO Jaspersoft Reporting and Analytics for AWS: versions up to and including 7.1.0.
Üreticinin çözüm notu (İngilizce)
TIBCO has released updated versions of the affected components which address these issues. For each affected system, update to the corresponding software versions:
TIBCO JasperReports Library versions 6.3.4 and below update to version 6.3.5 or higher
TIBCO JasperReports Library versions 6.4.1, 6.4.2, and 6.4.21 update to version 6.4.22 or higher
TIBCO JasperReports Library version 7.1.0 update to version 7.1.1 or higher
TIBCO JasperReports Library version 7.2.0 update to version 7.2.1 or higher
TIBCO JasperReports Library Community Edition versions 6.7.0 and below update to version 6.7.1 or higher
TIBCO JasperReports Library for ActiveMatrix BPM versions 6.4.21 and below update to version 6.4.22 or higher
TIBCO JasperReports Server versions 6.3.4 and below update to version 6.3.5 or higher
TIBCO JasperReports Server versions 6.4.0, 6.4.1, 6.4.2, and 6.4.3 update to version 6.4.4 or higher
TIBCO JasperReports Server version 7.1.0 update to version 7.1.1 or higher
TIBCO JasperReports Server Community Edition versions 7.1.0 and below update to version 7.1.1 or higher
TIBCO JasperReports Server for ActiveMatrix BPM versions 6.4.3 and below update to version 6.4.4 or higher
TIBCO Jaspersoft for AWS with Multi-Tenancy versions 7.1.0 and below update to version 7.1.1 or higher
TIBCO Jaspersoft Reporting and Analytics for AWS versions 7.1.0 and below update to version 7.1.1 or higher
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Kullandığınız TIBCO ürününü ve sürümünü belirleyin; JasperReports Library 6.3.4 ve altı için 6.3.5 veya üstüne, 6.4.1, 6.4.2 ve 6.4.21 için 6.4.22 veya üstüne, 7.1.0 için 7.1.1 veya üstüne, 7.2.0 için 7.2.1 veya üstüne güncelleyin. Üretici
- JasperReports Server 6.3.4 ve altı için 6.3.5 veya üstüne, 6.4.0–6.4.3 için 6.4.4 veya üstüne, 7.1.0 için 7.1.1 veya üstüne geçin. Community Edition 7.1.0 ve altı için 7.1.1 veya üstü gereklidir. Üretici
- JasperReports Library Community Edition 6.7.0 ve altını 6.7.1 veya üstüne güncelleyin. ActiveMatrix BPM için Library 6.4.21 ve altını 6.4.22 veya üstüne, Server 6.4.3 ve altını 6.4.4 veya üstüne yükseltin. Üretici
- TIBCO Jaspersoft for AWS with Multi-Tenancy ve Jaspersoft Reporting and Analytics for AWS 7.1.0 ve altı sürümleri 7.1.1 veya üstüne güncelleyin. Üretici
- Satıcı talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
Ek önlemler
- Raporlama sunucusunun yönetim ve web arayüzüne erişimi güvenlik duvarı veya VPN ile yalnızca gerekli kullanıcılara açın. Genel öneri
- Web sunucusu günlüklerinde dizin geçişi girişimlerine işaret eden alışılmadık yol ifadelerini ve sistem dosyalarına yönelik istekleri izleyin. Genel öneri
- Uygulamayı en az yetkiye sahip bir hesapla çalıştırın ve sunucudaki hassas dosyalara erişimi kısıtlayın. Genel öneri
- Güncelleme sonrasında olası istismar belirtileri için sistemi inceleyin; gerekirse erişilmiş olabilecek kimlik bilgilerini yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler8 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| TIBCO Software Inc. TIBCO JasperReports Library | ≤ 6.3.4 | – |
| 6.4.1 | – | |
| 6.4.2 | – | |
| 6.4.21 | – | |
| 7.1.0 | – | |
| 7.2.0 | – | |
| TIBCO Software Inc. TIBCO JasperReports Library Community Edition | ≤ 6.7.0 | – |
| TIBCO Software Inc. TIBCO JasperReports Library for ActiveMatrix BPM | ≤ 6.4.21 | – |
| TIBCO Software Inc. TIBCO JasperReports Server | ≤ 6.3.4 | – |
| 6.4.0 | – | |
| 6.4.1 | – | |
| 6.4.2 | – |
ve 7 satır daha
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- tibco.com/services/support/advisories Diğer
- tibco.com/…-6-2019-tibco-jasperreports-library-2018-18809 Diğer
- securityfocus.com/bid/107351 Diğer
- seclists.org/fulldisclosure/2019/Sep/17 Diğer
- packetstormsecurity.com/…es/154406/Tibco-JasperSoft-Path-Traversal.html Diğer
- security.elarlang.eu/…-18809-path-traversal-in-tibco-jaspersoft.html Diğer
- cybersecurityworks.com/zerodays/cve-2018-18809-tibco.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.