Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22

CVE-2019-19781

Citrix ADC ve Gateway'de dizin geçişi (directory traversal) açığı: kod çalıştırma

Citrix Application Delivery Controller (ADC), Gateway, and SD-WAN WANOP Appliance

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
12 Ağu 2026
Açık yaşı
2497 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Kurumun uzaktan erişim ve yük dengeleme altyapısında kullanılan Citrix cihazlarındaki bu açık, saldırganların şifresiz olarak cihazı ele geçirmesine imkân tanıyor. Açık aktif olarak istismar edildiği için yüksek aciliyetle ele alınmalı. Cihazın ele geçirilmesi iç ağa erişim ve veri sızıntısı riski doğurur.

ÖzetTürkçe

Citrix Application Delivery Controller (ADC) ve Gateway ürünlerinin 10.5, 11.1, 12.0, 12.1 ve 13.0 sürümlerinde dizin geçişi (CWE-22) zafiyeti bulunuyor. Aynı açık SD-WAN WANOP cihazlarını da etkileyen ürünler arasında listeleniyor. Kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebiliyor ve CISA'nın bilinen istismar edilen açıklar (KEV) kataloğunda yer alıyor.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan cihaz üzerinde yetkisiz erişim elde edip uzaktan kod çalıştırabilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde tam etki yaratır.

Kaynaktaki açıklama (İngilizce)

An issue was discovered in Citrix Application Delivery Controller (ADC) and Gateway 10.5, 11.1, 12.0, 12.1, and 13.0. They allow Directory Traversal.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Etkilenen Citrix ADC, Gateway ve SD-WAN WANOP cihazlarını belirleyin ve sürümlerini envanterle doğrulayın. Genel öneri
  2. Citrix'in (üretici) yayımladığı güvenlik güncellemelerini ve talimatlarını uygulayarak cihazları düzeltilmiş sürüme yükseltin. Genel öneri
  3. CISA KEV gereği: Üretici talimatlarına göre güncellemeleri uygulayın. CISA
  4. Güncelleme yapılana kadar cihazın yönetim ve kullanıcı arayüzlerine internetten erişimi güvenlik duvarıyla kısıtlayın. Genel öneri
  5. Güncelleme sonrası cihazda şüpheli dosya, zamanlanmış görev veya yetkisiz hesap olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • Cihaz günlüklerini ve web isteklerini dizin geçişi denemeleri ve beklenmedik dosya erişimleri açısından inceleyin. Genel öneri
  • Yönetim arayüzlerini yalnızca güvenilir ağlardan veya VPN üzerinden erişilebilir tutun. Genel öneri
  • Güvenlik yamalarını düzenli takip edip internete açık cihazlar için hızlı yama sürecini uygulayın. Genel öneri
  • Güncelleme öncesinde cihazın ele geçirilmiş olabileceği ihtimaline karşı yapılandırma yedeği alıp saklanan kimlik bilgilerini yenilemeyi değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Citrix Application Delivery Controller (ADC), Gateway, and SD-WAN WANOP Appliance Sürüm belirtilmemiş –

Kaynaklar12 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.