Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-502

CVE-2021-27852

Checkbox Survey'de güvenilmeyen verinin seri durumdan çıkarılması açığı

Checkbox Survey

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1980 gün
Kaydı açan
certcc
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 11 Nis 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 2 May 2022.

Yönetici özeti

Eski Checkbox Survey sürümleri, internetten herhangi biri tarafından şifre gerekmeden ele geçirilebiliyor ve bu açık gerçek saldırılarda kullanılıyor. Ele geçirilen sunucudaki anket verileri ve kurum ağı risk altında olur. Etkilenen sürümler hızla yükseltilmeli veya kullanımdan kaldırılmalıdır.

ÖzetTürkçe

Checkbox Survey ürününün CheckboxWeb.dll bileşeninde, güvenilmeyen verinin seri durumdan çıkarılmasından (deserialization, CWE-502) kaynaklanan kritik bir güvenlik açığı bulunuyor. Kimliği doğrulanmamış uzak bir saldırgan bu açığı kullanarak sunucuda rastgele kod çalıştırabilir. Sürüm 7 öncesindeki tüm Checkbox Survey sürümleri etkileniyor. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) kataloğuna 2022-04-11 tarihinde eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan, ağ üzerinden sunucuda uzaktan kod çalıştırabilir ve sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini tamamen tehlikeye atabilir.

Kaynaktaki açıklama (İngilizce)

Deserialization of Untrusted Data vulnerability in CheckboxWeb.dll of Checkbox Survey allows an unauthenticated remote attacker to execute arbitrary code. This issue affects: Checkbox Survey versions prior to 7.

CISA'nın önerdiği eylem (İngilizce)

Versions 6 and earlier for this product are end-of-life and must be removed from agency networks. Versions 7 and later are not considered vulnerable.

Ne yapmalı?

  1. Checkbox Survey'i sürüm 7 veya üzerine yükseltin; sürüm 7 ve sonrası bu açıktan etkilenmiyor olarak kabul edilmektedir. Üretici
  2. Sürüm 6 ve öncesi yaşam döngüsünü tamamlamıştır (end-of-life); bu sürümler ağlardan kaldırılmalıdır. CISA
  3. Yükseltme hemen yapılamıyorsa uygulamayı internete açık bırakmayın; erişimi güvenlik duvarı veya VPN ile güvenilir adreslerle sınırlayın. Genel öneri

Ek önlemler

  • Sunucuyu olası ele geçirilmeye karşı inceleyin: beklenmeyen süreçler, yeni dosyalar ve olağan dışı giden bağlantıları kontrol edin. Genel öneri
  • Uygulamanın çalıştığı hesabın ayrıcalıklarını en aza indirin ve sunucuyu diğer iç sistemlerden ağ düzeyinde ayırın. Genel öneri
  • Web uygulaması günlüklerini ve ağ trafiğini şüpheli istekler açısından izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Checkbox Survey < 7 7

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.