Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-502

CVE-2021-35464

ForgeRock Access Management'ta kimlik doğrulamasız Java seri durumdan çıkarma açığı

forgerock Access Managementforgerock openam

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1924 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 17 Kas 2021. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Kimlik yönetimi ve oturum açma altyapısında kullanılan bu ürün, internetten herhangi biri tarafından şifresiz biçimde ele geçirilebilir. Açığın aktif olarak istismar edildiği bilindiği için risk çok yüksektir ve acil müdahale gerekir. Ele geçirilen sistem, bağlı tüm uygulamalara erişimin kötüye kullanılmasına yol açabilir.

ÖzetTürkçe

ForgeRock Access Management (AM) sunucusunun 7.0 öncesi sürümlerinde, birden fazla sayfada kullanılan jato.pageSession parametresinde Java seri durumdan çıkarma (deserialization) zafiyeti bulunmaktadır. Sorun, Java 8 ve öncesi sürümlerde yer alan Sun ONE Application Framework (JATO) kullanımından kaynaklanır. Saldırgan kimlik doğrulaması olmadan, sunucuya gönderilen tek bir özel hazırlanmış /ccversion/* isteğiyle zafiyeti tetikleyebilir. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması gerekmeden uzaktan ağ üzerinden sunucuda kod çalıştırabilir. Bu durum sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

ForgeRock AM server before 7.0 has a Java deserialization vulnerability in the jato.pageSession parameter on multiple pages. The exploitation does not require authentication, and remote code execution can be triggered by sending a single crafted /ccversion/* request to the server. The vulnerability exists due to the usage of Sun ONE Application Framework (JATO) found in versions of Java 8 or earlier

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. ForgeRock Access Management'ı 7.0 veya sonraki bir sürüme yükseltin; satıcının güncelleme talimatlarını uygulayın. Genel öneri
  2. CISA KEV gereği, güncellemeleri satıcı talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa AM sunucusuna internetten erişimi kısıtlayın ve /ccversion/ yoluna gelen istekleri güvenlik duvarı veya ters vekil sunucu üzerinde engelleyin. Genel öneri

Ek önlemler

  • AM sunucusunun günlüklerinde ve web erişim kayıtlarında /ccversion/ yoluna yönelik şüpheli istekleri ve jato.pageSession parametresi içeren istekleri inceleyin. Genel öneri
  • Sunucunun daha önce ele geçirilmiş olabileceğini düşünerek beklenmeyen süreçleri, yeni hesapları ve dosya değişikliklerini kontrol edin. Genel öneri
  • Yönetim ve kimlik doğrulama servislerini yalnızca gerekli ağlara açın; sunucuyu en az yetkiyle çalıştırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
forgerock Access Management < 6.5.4 6.5.4
forgerock openam ≥ 9.0.0, < 14.6.3 14.6.3

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. Yama ya da düzeltilmiş sürüm çıktı
  3. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  4. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.