- Aktif istismar
- CWE-502
CVE-2020-0618
Microsoft SQL Server Reporting Services'te uzaktan kod çalıştırma açığı
Microsoft SQL ServerMicrosoft SQL Server 2014 Service Pack 3 for 32-bit Systems (CU)Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (GDR)
- Yayımlandı
- Güncellendi
- 15 Ağu 2026
- Açık yaşı
- 2450 gün
- Kaydı açan
- microsoft
Yönetici özeti
Bu açık, saldırganların internet üzerinden herhangi bir şifreye ihtiyaç duymadan raporlama sunucusunu ele geçirmesine imkân tanıyor ve aktif olarak istismar edildiği bilinmektedir. Sunucudaki verilerin çalınması veya hizmetin durdurulması riski yüksektir. Güvenlik güncellemelerinin gecikmeden uygulanması gerekir.
ÖzetTürkçe
Microsoft SQL Server Reporting Services, sayfa isteklerini hatalı işlediği için uzaktan kod çalıştırmaya yol açan bir güvenlik açığı içerir. Açık güvensiz seri durumdan çıkarma (CWE-502) kategorisindedir. Aralarında SQL Server 2014 Service Pack 3 ve SQL Server 2016 Service Pack 2 sürümlerinin bulunduğu çeşitli SQL Server sürümleri etkilenmektedir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.
Saldırgan ne yapabilir?
Kimlik doğrulaması gerektirmeden ağ üzerinden gönderilen özel hazırlanmış isteklerle saldırgan sunucuda kod çalıştırabilir ve sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini tamamen tehlikeye atabilir.
Kaynaktaki açıklama (İngilizce)
A remote code execution vulnerability exists in Microsoft SQL Server Reporting Services when it incorrectly handles page requests, aka 'Microsoft SQL Server Reporting Services Remote Code Execution Vulnerability'.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Microsoft'un bu açık için yayımladığı güvenlik güncellemesini etkilenen SQL Server Reporting Services kurulumlarına uygulayın (GDR veya CU güncelleme kanalınıza uygun sürümü seçin). Genel öneri
- Üretici talimatlarına göre azaltma önlemlerini uygulayın; önlemler mümkün değilse ürünün kullanımını durdurun. CISA
- Güncelleme uygulanana kadar Reporting Services arayüzüne internetten ve güvenilmeyen ağlardan erişimi güvenlik duvarıyla kısıtlayın. Genel öneri
Ek önlemler
- Reporting Services sunucusunu doğrudan internete açmayın; erişimi VPN veya IP kısıtlamasıyla sınırlayın. Genel öneri
- Sunucu günlüklerinde ve web isteklerinde olağandışı sayfa isteklerini ve beklenmeyen süreç oluşumlarını izleyin. Genel öneri
- Sistemin güvenliğinin ihlal edilmiş olabileceği durumda hizmet hesabı parolalarını ve bağlantı bilgilerini değiştirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler6 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Microsoft SQL Server | Sürüm belirtilmemiş | – |
| Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (CU) | Sürüm belirtilmemiş | – |
| Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (GDR) | Sürüm belirtilmemiş | – |
| Microsoft SQL Server 2014 Service Pack 3 for x64-based Systems (CU) | Sürüm belirtilmemiş | – |
| Microsoft SQL Server 2014 Service Pack 3 for x64-based Systems (GDR) | Sürüm belirtilmemiş | – |
| Microsoft SQL Server 2016 for x64-based Systems Service Pack 2 (GDR) | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0618 Diğer
- packetstormsecurity.com/…g-Services-SSRS-ViewState-Deserialization.html Diğer
- packetstormsecurity.com/…rting-Services-2016-Remote-Code-Execution.html Diğer
- msrc.microsoft.com/update-guide/en-US/advisory/CVE-2020-0618 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.