- Aktif istismar
- CWE-20
- CWE-78
CVE-2021-27104
Accellion FTA'da işletim sistemi komut enjeksiyonu zafiyeti
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2079 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu zafiyet, internetten erişilebilen Accellion FTA sistemlerinin saldırganlar tarafından herhangi bir yetkisi olmadan ele geçirilmesine olanak tanır. Zafiyetin aktif olarak istismar edildiği bilinmektedir. Bu nedenle güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
Accellion FTA 9_12_370 ve önceki sürümlerde, yönetici uç noktalarına gönderilen özel hazırlanmış bir POST isteği ile işletim sistemi komutları çalıştırılabilmektedir. Zafiyet kimlik doğrulama gerektirmeden ağ üzerinden istismar edilebilir. Sorun, girdi doğrulama eksikliğinden (CWE-20) kaynaklanan bir komut enjeksiyonudur (CWE-78). Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) kataloğunda yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan sunucuda keyfi komut çalıştırarak sistemin gizlilik, bütünlük ve erişilebilirlik üzerinde tam kontrol elde edebilir. Bu durum dosya transfer sisteminde saklanan verilerin çalınmasına veya değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Accellion FTA 9_12_370 and earlier is affected by OS command execution via a crafted POST request to various admin endpoints. The fixed version is FTA_9_12_380 and later.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Accellion FTA'yı FTA_9_12_380 veya daha yeni bir sürüme güncelleyin. Genel öneri
- Satıcının talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
- Güncelleme yapılana kadar yönetici arayüzüne internetten erişimi kısıtlayın veya sistemi geçici olarak erişime kapatın. Genel öneri
Ek önlemler
- Sistemin yönetim uç noktalarına yalnızca güvenilir IP adreslerinden erişime izin verin. Genel öneri
- Web ve sistem günlüklerinde yönetici uç noktalarına yönelik olağan dışı POST isteklerini ve beklenmeyen süreçleri inceleyin. Genel öneri
- Sistemin daha önce ele geçirilmiş olabileceğini göz önünde bulundurarak güncelleme sonrası uzlaşma (compromise) kontrolü yapın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Accellion FTA | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.