Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2021-27561

Yealink Device Management'ta kimlik doğrulamasız root komut enjeksiyonu

Yealink Device Management

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1839 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 17 Kas 2021.

Yönetici özeti

Yealink cihaz yönetim sunucusu, internet veya iç ağ üzerinden şifresiz olarak tamamen ele geçirilebilir durumdadır. Açığın aktif olarak istismar edildiği bildirildiği için acil müdahale gerekir. Ele geçirilen sunucu, yönetilen telefonlara ve kurum ağına erişim için bir basamak olarak kullanılabilir.

ÖzetTürkçe

Yealink Device Management (DM) 3.6.0.20 sürümünde, güvenlik duvarı bölge servisleri için kullanılan /sm/api/v1/firewall/zone/services adresi üzerinden işletim sistemi komutu enjeksiyonu yapılabilmektedir. Saldırgan kimlik doğrulaması olmadan ağ üzerinden istek göndererek komutları root yetkisiyle çalıştırabilir. Açık CISA tarafından bilinen ve istismar edilen güvenlik açıkları (KEV) kataloğuna eklenmiştir. Yealink Device Management kullanan kurumlar etkilenmektedir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan sunucuda root yetkisiyle keyfi komut çalıştırarak sistemin tamamen ele geçirilmesini sağlayabilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır.

Kaynaktaki açıklama (İngilizce)

Yealink Device Management (DM) 3.6.0.20 allows command injection as root via the /sm/api/v1/firewall/zone/services URI, without authentication.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Yealink Device Management için üreticinin yayımladığı güncellemeyi, üretici talimatlarına uygun şekilde uygulayın. Genel öneri
  2. CISA'nın gerekli eylemi uyarınca güncellemeleri üretici yönergelerine göre uygulayın; uygulanamıyorsa ürünün kullanımını durdurmayı değerlendirin. CISA
  3. Güncelleme yapılana kadar yönetim sunucusuna erişimi güvenlik duvarıyla yalnızca güvenilir yönetim ağlarına sınırlayın ve internetten erişimi kapatın. Genel öneri
  4. Sunucuyu olası ele geçirilmeye karşı inceleyin: beklenmeyen süreçleri, kullanıcıları ve zamanlanmış görevleri kontrol edin. Genel öneri

Ek önlemler

  • Cihaz yönetim arayüzlerini doğrudan internete açmayın; VPN veya erişim kontrol listeleri kullanın. Genel öneri
  • Web sunucusu ve erişim günlüklerinde /sm/api/v1/firewall/zone/services adresine yapılan şüpheli istekleri arayın. Genel öneri
  • Ele geçirilme şüphesi varsa sunucuda saklanan parolaları ve yönetilen cihazlara ait kimlik bilgilerini yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Yealink Device Management Sürüm belirtilmemiş –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.