Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-287

CVE-2021-34523

Microsoft Exchange Server'da kimlik doğrulama zafiyeti nedeniyle yetki yükseltme

Microsoft Exchange Server 2013 Cumulative Update 23Microsoft Exchange Server 2016 Cumulative Update 19Microsoft Exchange Server 2016 Cumulative Update 20

Kritik 9,0 CVSS 3.1
Yayımlandı
Güncellendi
10 Ağu 2026
Açık yaşı
1931 gün
Kaydı açan
microsoft
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 17 Kas 2021. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Kurumun e-posta sunucusunu etkileyen bu kritik açık, aktif olarak istismar edildiği için CISA tarafından takip edilmektedir. Başarılı bir saldırı e-posta verilerinin ele geçirilmesine veya değiştirilmesine yol açabilir. Güncellemenin gecikmeden uygulanması gerekir.

ÖzetTürkçe

Microsoft Exchange Server'da kimlik doğrulama mekanizmasındaki bir zafiyet (CWE-287) yetki yükseltmeye yol açmaktadır. Zafiyet Exchange Server 2013 CU23, 2016 CU19 ve CU20 ile 2019 CU8 ve CU9 sürümlerinin düzeltme içermeyen yapılarını etkilemektedir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulama kontrolünü aşarak Exchange sunucusunda yetkisini yükseltebilir ve gizlilik ile bütünlük üzerinde ciddi etki oluşturabilir. Zafiyet kapsam değişikliği (scope change) içerdiğinden etkisi sunucunun ötesine geçebilir.

Kaynaktaki açıklama (İngilizce)

Microsoft Exchange Server Elevation of Privilege Vulnerability

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Kullandığınız Exchange sürümünü belirleyin ve Microsoft'un yayımladığı güvenlik güncellemesini uygulayın: Exchange 2013 CU23 için 15.00.1497.015, 2016 CU19 için 15.01.2176.012, 2016 CU20 için 15.01.2242.008, 2019 CU8 için 15.02.0792.013, 2019 CU9 için 15.02.0858.010 veya daha yeni bir yapıya yükseltin. Üretici
  2. Üretici talimatlarına uygun şekilde güncellemeleri uygulayın (CISA KEV gerekliliği). CISA
  3. Güncelleme sonrası sunucunun sürüm numarasını kontrol ederek düzeltilmiş yapıya geçildiğini doğrulayın. Genel öneri

Ek önlemler

  • Exchange sunucularını internete doğrudan açmak yerine mümkünse VPN veya ters vekil sunucu arkasında yayımlayın. Genel öneri
  • Exchange günlüklerini ve yetkisiz hesap veya yetki değişikliklerini izleyin; güncelleme öncesi döneme ait şüpheli etkinlikleri inceleyin. Genel öneri
  • Desteklenen kümülatif güncelleme (CU) sürümlerinde kalın ve güvenlik güncellemelerini düzenli olarak uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler5 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Microsoft Exchange Server 2013 Cumulative Update 23 ≥ 15.00.0, < 15.00.1497.015 15.00.1497.015
Microsoft Exchange Server 2016 Cumulative Update 19 ≥ 15.01.0, < 15.01.2176.012 15.01.2176.012
Microsoft Exchange Server 2016 Cumulative Update 20 ≥ 15.01.0, < 15.01.2242.008 15.01.2242.008
Microsoft Exchange Server 2019 Cumulative Update 8 ≥ 15.02.0, < 15.02.0792.013 15.02.0792.013
Microsoft Exchange Server 2019 Cumulative Update 9 ≥ 15.02.0, < 15.02.0858.010 15.02.0858.010

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.