- Aktif istismar
- CWE-94
CVE-2019-10758
mongo-express'te toBSON kaynaklı uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2499 gün
- Kaydı açan
- snyk
Yönetici özeti
Bu açık, saldırganın veritabanı yönetim arayüzünün çalıştığı sunucuyu ele geçirmesine imkân tanır ve CISA tarafından aktif olarak istismar edildiği bilinen açıklar listesine alınmıştır. Veri sızıntısı, verilerin değiştirilmesi veya hizmetin kesintiye uğraması riski yüksektir. Güncelleme acilen yapılmalıdır.
ÖzetTürkçe
mongo-express 0.54.0 öncesi sürümlerde, metodunu kullanan uç noktalar üzerinden uzaktan kod çalıştırma mümkündür. Sorun, bağımlılığının güvenli olmayan bir ortamda komutlarını çalıştırmak için yanlış kullanılmasından kaynaklanır. Açık, kimlik doğrulaması yapmış düşük yetkili bir kullanıcının sunucuda kod çalıştırmasına izin verir. mongo-express arayüzünü kullanan tüm kurulumlar etkilenir.
Saldırgan ne yapabilir?
Saldırgan, mongo-express'in çalıştığı sunucuda isteği kendi belirlediği kodu çalıştırabilir; bu da veri ve sistem üzerinde tam kontrol anlamına gelir. Etki, güvenlik sınırının dışına taşabildiği için bağlı MongoDB verilerini ve sunucudaki diğer kaynakları da kapsayabilir.
Kaynaktaki açıklama (İngilizce)
mongo-express before 0.54.0 is vulnerable to Remote Code Execution via endpoints that uses the toBSON method. A misuse of the vm dependency to perform exec commands in a non-safe environment.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- mongo-express'i 0.54.0 veya daha yeni bir sürüme güncelleyin. Genel öneri
- Üretici talimatlarına uygun olarak güncellemeleri uygulayın. CISA
- Güncelleme hemen yapılamıyorsa mongo-express arayüzünü internete kapatın veya erişimi yalnızca güvenilir IP adresleriyle sınırlandırın. Genel öneri
Ek önlemler
- mongo-express gibi yönetim arayüzlerini doğrudan internete açmayın; VPN veya erişim denetimli bir ağ arkasında tutun. Genel öneri
- mongo-express için güçlü ve benzersiz kimlik bilgileri kullanın, varsayılan parolaları değiştirin. Genel öneri
- Sunucuda şüpheli süreç, beklenmeyen giden bağlantı ve yetkisiz veri erişimi izleri için günlükleri inceleyin. Genel öneri
- mongo-express'i en az yetkili bir kullanıcıyla ve mümkünse konteyner gibi izole bir ortamda çalıştırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mongo-express | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.