Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-89

CVE-2018-7841

Schneider Electric U.motion Builder 1.3.4'te SQL enjeksiyonu açığı

U.motion Builder software version 1.3.4

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2715 gün
Kaydı açan
schneider
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 15 Nis 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 6 May 2022.

Yönetici özeti

Bina otomasyonunda kullanılan bu yazılımdaki kritik açık, saldırganların sisteme herhangi bir şifre olmadan uzaktan müdahale etmesine izin verebilir ve aktif olarak istismar edildiği bilinmektedir. Ürünün ömrü dolmuştur ve yama beklenmemelidir; kullanımda ise sistemin derhal ağdan ayrılması gerekir.

ÖzetTürkçe

Schneider Electric U.motion Builder yazılımının 1.3.4 sürümünde SQL enjeksiyonu (CWE-89) açığı bulunmaktadır. Uygun olmayan karakter dizileri girildiğinde istenmeyen kodun çalışmasına yol açılabilmektedir. Açık, kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilmekte ve CVSS puanı 9.8 (kritik) olarak değerlendirilmektedir. Bu açık CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan uzaktan SQL enjeksiyonu yaparak veriyi okuyabilir, değiştirebilir ve sistemde istenmeyen kod çalıştırabilir. Bu durum sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini tamamen tehlikeye atar.

Kaynaktaki açıklama (İngilizce)

A SQL Injection (CWE-89) vulnerability exists in U.motion Builder software version 1.3.4 which could cause unwanted code execution when an improper set of characters is entered.

CISA'nın önerdiği eylem (İngilizce)

The impacted product is end-of-life and should be disconnected if still in use.

Ne yapmalı?

  1. Ürün ömrünü tamamlamıştır (end-of-life). CISA gerekliliği uyarınca hâlâ kullanımdaysa U.motion Builder kurulu sistemi ağdan bağlantısını keserek devre dışı bırakın. CISA
  2. Verilerde bu sürüm için düzeltilmiş bir sürüm belirtilmemiştir; çözüm olarak ürünü desteklenen bir alternatifle değiştirmeyi planlayın. Genel öneri
  3. Geçiş tamamlanana kadar sisteme erişimi internetten tamamen kesin ve yalnızca izole, güvenilir bir ağ segmentinden, gerekli kişilerin erişimine izin verin. Genel öneri

Ek önlemler

  • Sistemin geçmiş günlüklerini ve veritabanını şüpheli sorgular ile yetkisiz değişiklikler açısından inceleyin. Genel öneri
  • Bina otomasyon ve endüstriyel sistemleri kurumsal ağdan ayrı segmentlerde tutun ve internete doğrudan açmayın. Genel öneri
  • Ömrünü tamamlamış ürünleri envanterde işaretleyerek düzenli olarak tespit edin ve değiştirme planına alın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
U.motion Builder software version 1.3.4 Sürüm belirtilmemiş –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.