- Aktif istismar
- Yama var
- CWE-434
CVE-2021-27860
FatPipe WARP, IPVPN ve MPVPN yönetim arayüzünde kimlik doğrulamasız dosya yükleme açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1785 gün
- Kaydı açan
- certcc
Yönetici özeti
Ağ trafiğini yöneten FatPipe cihazlarında, herhangi bir şifre gerekmeden dışarıdan cihaza dosya yüklenmesine izin veren kritik bir açık var ve bu açığın gerçek saldırılarda kullanıldığı bilinyor. Cihazın ele geçirilmesi kurumun ağ bağlantılarını ve verilerini riske atabilir. Güncellemenin gecikmeden uygulanması gerekir.
ÖzetTürkçe
FatPipe WARP, IPVPN ve MPVPN yazılımlarının web yönetim arayüzünde, kimlik doğrulaması olmadan dosya yüklemeye izin veren bir açık bulunuyor (CWE-434). Uzaktan, kimliği doğrulanmamış bir saldırgan dosya sistemindeki herhangi bir konuma dosya yükleyebiliyor. Açık, 10.1 sürümünde 10.1.2r60p92 öncesini ve 10.2 sürümünde 10.2.2r44p1 öncesini etkiliyor. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor ve CVSS puanı 9.8 (kritik).
Saldırgan ne yapabilir?
Saldırgan, cihazın dosya sistemine istediği konuma dosya yazarak cihazın gizlilik, bütünlük ve erişilebilirliğini tehlikeye atabilir. Bu durum cihazın tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability in the web management interface of FatPipe WARP, IPVPN, and MPVPN software prior to versions 10.1.2r60p92 and 10.2.2r44p1 allows a remote, unauthenticated attacker to upload a file to any location on the filesystem. The FatPipe advisory identifier for this vulnerability is FPSA006.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- FatPipe WARP, IPVPN ve MPVPN yazılımlarını sabitlenmiş sürümlere güncelleyin: 10.1 kolu için 10.1.2r60p92, 10.2 kolu için 10.2.2r44p1 veya daha yenisi. Üretici
- CISA KEV gereği, güncellemeleri üretici talimatlarına uygun şekilde uygulayın. CISA
- Güncelleme uygulanana kadar web yönetim arayüzüne internetten erişimi engelleyin; erişimi yalnızca güvenilir yönetim ağıyla sınırlayın. Genel öneri
- Cihazın dosya sisteminde beklenmeyen veya yeni oluşturulmuş dosyalar olup olmadığını kontrol edin; şüpheli bir durum varsa olay müdahale sürecini başlatın. Genel öneri
Ek önlemler
- Yönetim arayüzlerini doğrudan internete açmayın; VPN veya IP kısıtlaması arkasında tutun. Genel öneri
- Yönetim arayüzüne gelen kimliği doğrulanmamış istekleri ve dosya yükleme denemelerini günlüklerde izleyin. Genel öneri
- Ağ cihazlarının yazılım sürümlerini düzenli olarak envanterleyin ve üretici güvenlik bültenlerini takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| FatPipe IPVPN | ≥ 10.1, < 10.1.2r60p92 | 10.1.2r60p92 |
| ≥ 10.2, < 10.2.2r44p1 | 10.2.2r44p1 | |
| FatPipe MPVPN | ≥ 10.1, < 10.1.2r60p92 | 10.1.2r60p92 |
| ≥ 10.2, < 10.2.2r44p1 | 10.2.2r44p1 | |
| FatPipe WARP | ≥ 10.1, < 10.1.2r60p92 | 10.1.2r60p92 |
| ≥ 10.2, < 10.2.2r44p1 | 10.2.2r44p1 |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.