- Aktif istismar
- CWE-78
CVE-2019-7256
Nice Linear eMerge E3-Series cihazlarında işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2675 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu açık, binalardaki erişim kontrol cihazlarının internet veya iç ağ üzerinden kimlik doğrulaması olmadan ele geçirilmesine izin verebilir. Açığın aktif olarak istismar edildiği bilinmektedir, bu nedenle acil önlem alınmalıdır. Cihazların ele geçirilmesi fiziksel güvenliği ve kurum ağını tehlikeye atabilir.
ÖzetTürkçe
Nice Linear eMerge E3-Series cihazlarında bir işletim sistemi komut enjeksiyonu (CWE-78) açığı bulunmaktadır. Ağ üzerinden erişebilen saldırgan kimlik doğrulaması yapmadan ve kullanıcı etkileşimi olmadan cihaz üzerinde komut çalıştırabilir. Açık CISA tarafından aktif olarak istismar edilen zafiyetler (KEV) listesine eklenmiştir. Bu cihazları kullanan tüm kurumlar etkilenir.
Saldırgan ne yapabilir?
Saldırgan cihaz üzerinde yetkisiz komut çalıştırarak cihazın gizlilik, bütünlük ve erişilebilirlik üzerinde tam kontrolü ele geçirebilir. Bu durum fiziksel erişim kontrol sisteminin ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Linear eMerge E3-Series devices allow Command Injections.
CISA'nın önerdiği eylem (İngilizce)
Contact the vendor for guidance on remediating firmware, per their advisory.
Ne yapmalı?
- Üretici ile iletişime geçerek etkilenen eMerge E3-Series cihazları için güncel ürün yazılımı (firmware) düzeltmesini ve üretici tavsiyesini edinin. Genel öneri
- CISA gereği, üreticinin tavsiyesine uygun şekilde ürün yazılımını düzeltmek için üreticiden rehberlik alın ve önerilen adımları uygulayın. CISA
- Düzeltme uygulanana kadar cihazların internetten erişimini tamamen engelleyin ve yönetim arayüzüne yalnızca güvenilir, ayrılmış ağlardan erişime izin verin. Genel öneri
- Üretici düzeltmesi mevcut değilse veya uygulanamıyorsa cihazı hizmet dışı bırakmayı ya da değiştirmeyi değerlendirin. Genel öneri
Ek önlemler
- Fiziksel erişim kontrol cihazlarını ayrı bir ağ segmentine (VLAN) alın ve güvenlik duvarıyla erişimi kısıtlayın. Genel öneri
- Cihazlardan çıkan beklenmedik ağ trafiğini ve olağandışı yönetim isteklerini izleyin. Genel öneri
- Cihazların ele geçirilmiş olabileceği ihtimaline karşı günlük kayıtlarını inceleyin, varsayılan veya zayıf parolaları değiştirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Nice Linear eMerge E3-Series | Sürüm belirtilmemiş | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- applied-risk.com/labs/advisories Diğer
- applied-risk.com/resources/ar-2019-005 Diğer
- packetstormsecurity.com/…3-1.00-06-card_scan.php-Command-Injection.html Diğer
- packetstormsecurity.com/…6-card_scan_decoder.php-Command-Injection.html Diğer
- packetstormsecurity.com/…ge-E3-Access-Controller-Command-Injection.html Diğer
- packetstormsecurity.com/…eries-Access-Controller-Command-Injection.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.