- Aktif istismar
- CWE-502
CVE-2019-10068
Kentico Xperience staging servisinde kimlik doğrulamasız güvensiz seri durumdan çıkarma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2772 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu açık, internetten herhangi bir saldırganın giriş yapmadan Kentico sitesini barındıran sunucuyu ele geçirmesine izin verebilir. Açığın aktif olarak istismar edildiği bilinmektedir, bu nedenle güncelleme acilen yapılmalıdır. Site ve içindeki veriler tehlikeye girebilir, hizmet kesintisi yaşanabilir.
ÖzetTürkçe
Kentico Xperience'ta staging servisi güvenlik başlıklarını doğru doğrulamadığı için özel hazırlanmış bir istek ilk kimlik doğrulamasını atlatabiliyor. Ardından saldırganın kontrol ettiği .NET nesne verisi güvensiz biçimde seri durumdan çıkarılıyor (CWE-502). Etkilenen sürümler 12.0.15 öncesi 12.0.x, 11.0.48 öncesi 11.0.x, 10.0.52 öncesi 10.0.x ve tüm 9.x sürümleridir. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer almaktadır.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış uzak bir saldırgan, Kentico'nun çalıştığı sunucuda uzaktan kod çalıştırabilir ve sunucunun gizlilik, bütünlük ve erişilebilirliği üzerinde tam kontrol elde edebilir.
Kaynaktaki açıklama (İngilizce)
An issue was discovered in Kentico 12.0.x before 12.0.15, 11.0.x before 11.0.48, 10.0.x before 10.0.52, and 9.x versions. Due to a failure to validate security headers, it was possible for a specially crafted request to the staging service to bypass the initial authentication and proceed to deserialize user-controlled .NET object input. This deserialization then led to unauthenticated remote code execution on the server where the Kentico instance was hosted.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Kentico'yu düzeltilmiş sürüme güncelleyin: 12.0.x için 12.0.15 veya üstü, 11.0.x için 11.0.48 veya üstü, 10.0.x için 10.0.52 veya üstü. 9.x sürümleri etkilenmektedir; bu sürümlerde desteklenen düzeltilmiş bir sürüme geçiş yapın. Genel öneri
- Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
- Güncelleme yapılana kadar staging servisine internetten erişimi güvenlik duvarı veya ters vekil üzerinden engelleyin ya da yalnızca güvenilir IP adresleriyle sınırlandırın. Genel öneri
- Sunucunun daha önce ele geçirilip geçirilmediğini kontrol edin; şüpheli süreçleri, yeni oluşturulmuş dosyaları ve olağandışı hesapları inceleyin. Genel öneri
Ek önlemler
- Staging ve yönetim servislerini genel internete açmayın; yalnızca VPN veya izinli IP aralıklarından erişilebilir olmasını sağlayın. Genel öneri
- Web sunucusunun staging servisine yönelik olağandışı isteklerini ve hatalarını günlüklerde izleyin. Genel öneri
- Uygulamayı en düşük yetkili hesapla çalıştırarak olası bir ele geçirmenin etkisini sınırlayın. Genel öneri
- Kentico ve diğer web bileşenlerini düzenli olarak yamalayacak bir güncelleme süreci uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Kentico Xperience | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.