Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-502

CVE-2020-2555

Oracle Coherence (Fusion Middleware) T3 üzerinden kimlik doğrulamasız uzaktan kod çalıştırma

Oracle Corporation Utilities FrameworkOracle Corporation WebCenter Portal

Kritik 9,8 CVSS 3.0
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2477 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Bu zafiyet, internetten veya iç ağdan erişebilen bir saldırganın şifre bilmeden Oracle sunucusunu ele geçirmesine olanak tanıyor. Zafiyetin aktif olarak kullanıldığı bilindiği için yamanın acilen uygulanması gerekiyor. Gecikme halinde veri kaybı, hizmet kesintisi ve sistemlerin tamamen ele geçirilmesi riski vardır.

ÖzetTürkçe

Oracle Fusion Middleware içindeki Oracle Coherence bileşeninde (Caching, CacheStore, Invocation) güvensiz seri durumdan çıkarma (CWE-502) zafiyeti bulunuyor. Kimlik doğrulaması olmayan bir saldırgan, T3 protokolü üzerinden ağ erişimiyle Coherence'ı ele geçirebiliyor. Etkilenen Coherence sürümleri 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 ve 12.2.1.4.0'dır. Kayıtlarda ayrıca Oracle WebCenter Portal (12.2.1.3.0, 12.2.1.4.0) ve Oracle Utilities Framework (4.2.0.2.0, 4.2.0.3.0, 4.3.0.1.0–4.3.0.6.0, 4.4.0.0.0, 4.4.0.2.0) etkilenen ürünler arasında yer alıyor.

Saldırgan ne yapabilir?

Saldırgan herhangi bir kimlik bilgisi olmadan ve kolayca sömürerek Oracle Coherence'ı tamamen ele geçirebilir; gizlilik, bütünlük ve erişilebilirlik tamamen etkilenir. Zafiyet CISA'nın bilinen sömürülen zafiyetler (KEV) listesinde yer almaktadır.

Kaynaktaki açıklama (İngilizce)

Vulnerability in the Oracle Coherence product of Oracle Fusion Middleware (component: Caching,CacheStore,Invocation). Supported versions that are affected are 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3 to compromise Oracle Coherence. Successful attacks of this vulnerability can result in takeover of Oracle Coherence. CVSS 3.0 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Etkilenen Oracle ürünleri (Coherence, WebCenter Portal, Utilities Framework) için Oracle'ın ilgili güvenlik güncellemesini (Critical Patch Update) üreticinin talimatlarına göre uygulayın. Genel öneri
  2. CISA KEV gereği: güncellemeleri üretici talimatlarına uygun şekilde uygulayın. CISA
  3. Yama uygulanana kadar T3 protokolüne gelen erişimi güvenlik duvarı ile yalnızca gerekli ve güvenilir sistemlere izin verecek şekilde kısıtlayın. Genel öneri
  4. Yama sonrasında etkilenen sürümlerin envanterini kontrol ederek hiçbir sunucunun güncellenmemiş halde kalmadığını doğrulayın. Genel öneri

Ek önlemler

  • T3 portlarını internete açmayın; yönetim ve küme trafiğini ayrı, kısıtlı bir ağ segmentinde tutun. Genel öneri
  • Sunucularda şüpheli T3 bağlantılarını ve beklenmeyen alt süreç oluşumunu izleyin, günlükleri düzenli inceleyin. Genel öneri
  • Zafiyet sömürülmüş olabilir; yama öncesinde internete açık olan sistemlerde ele geçirilme belirtilerini araştırın. Genel öneri
  • Oracle'ın üç aylık güvenlik güncelleme takvimini düzenli takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Corporation Utilities Framework 4.2.0.2.0 –
4.2.0.3.0 –
≥ 4.3.0.1.0, ≤ 4.3.0.6.0 –
4.4.0.0.0 –
4.4.0.2.0 –
Oracle Corporation WebCenter Portal 12.2.1.3.0 –
12.2.1.4.0 –

Kaynaklar10 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.