Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2020-4428

IBM Data Risk Manager'da kimliği doğrulanmış kullanıcıya komut çalıştırma açığı

IBM Data Risk Manager

Kritik 9,1 CVSS 3.0
Yayımlandı
Güncellendi
4 Kas 2025
Açık yaşı
2364 gün
Kaydı açan
ibm
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Bu açık, sisteme giriş yapabilen bir saldırganın sunucuyu ele geçirmesine olanak tanıyor ve aktif olarak istismar edildiği bilindiği için risk yüksektir. Etkilenen IBM Data Risk Manager sürümlerini kullanan kuruluşların güncellemeyi vakit kaybetmeden uygulaması gerekir.

ÖzetTürkçe

IBM Data Risk Manager'da işletim sistemi komut enjeksiyonu (CWE-78) türünde bir zafiyet bulunuyor. Kimliği doğrulanmış uzak bir saldırgan, sistem üzerinde rastgele komutlar çalıştırabilir. Açıklama 2.0.1, 2.0.2, 2.0.3 ve 2.0.4 sürümlerini listeliyor; etkilenen ürün listesinde 2.0.5 ve 2.0.6 sürümleri de yer alıyor. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) kataloğunda bulunuyor.

Saldırgan ne yapabilir?

Saldırgan, sistem üzerinde rastgele komut çalıştırarak yüksek yetkili hesap erişimiyle gizlilik, bütünlük ve erişilebilirlik üzerinde tam kontrol elde edebilir. Zafiyetin etki alanı değişebildiği için diğer bileşenler de etkilenebilir.

Kaynaktaki açıklama (İngilizce)

IBM Data Risk Manager 2.0.1, 2.0.2, 2.0.3, and 2.0.4 could allow a remote authenticated attacker to execute arbitrary commands on the system. IBM X-Force ID: 180533.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. IBM'in yayımladığı güvenlik bildirimindeki talimatlara göre IBM Data Risk Manager için sağlanan güncellemeyi veya düzeltmeyi uygulayın. Genel öneri
  2. CISA KEV gereği: Güncellemeleri satıcı talimatlarına uygun şekilde uygulayın. CISA
  3. Güncelleme hemen uygulanamıyorsa ürünün yönetim arayüzüne erişimi güvenilir ağlarla ve VPN ile sınırlayın, gereksiz hesapları devre dışı bırakın. Genel öneri

Ek önlemler

  • Ürüne ait tüm kullanıcı hesaplarını gözden geçirin, özellikle yüksek yetkili hesaplarda güçlü parola ve çok faktörlü kimlik doğrulama kullanın. Genel öneri
  • Sunucuda beklenmeyen komut çalıştırma, yeni hesap oluşturma veya olağan dışı giden bağlantılara karşı günlükleri izleyin. Genel öneri
  • Sistemin ele geçirildiğinden şüpheleniyorsanız güncellemeden sonra sistemi inceleyin ve ilgili parolaları ile anahtarları yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM Data Risk Manager 2.0.1 –
2.0.2 –
2.0.3 –
2.0.4 –
2.0.5 –
2.0.6 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.