- Aktif istismar
- CWE-306
CVE-2021-37415
Zoho ManageEngine ServiceDesk Plus'ta kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1883 gün
- Kaydı açan
- mitre
Yönetici özeti
Şirket içinde kullanılan ServiceDesk Plus yazılımının eski sürümlerine, şifre bilmeyen kişiler tarafından erişilebilmektedir. Açığın aktif olarak istismar edildiği bilinmektedir, bu nedenle güncelleme acilen yapılmalıdır. Gecikme halinde destek kayıtlarının ve sistem bilgilerinin ele geçirilmesi riski vardır.
ÖzetTürkçe
Zoho ManageEngine ServiceDesk Plus'ın 11302 sürümünden önceki sürümlerinde kimlik doğrulama atlatma açığı bulunmaktadır. Bu hata nedeniyle bazı REST API adreslerine kimlik doğrulaması yapılmadan erişilebilmektedir. Açık, CWE-306 (kritik işlev için kimlik doğrulama eksikliği) kapsamındadır ve ağ üzerinden, kullanıcı etkileşimi gerektirmeden istismar edilebilir. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik bilgisi olmadan bazı REST API işlevlerine erişebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşturabilir (CVSS 9.8).
Kaynaktaki açıklama (İngilizce)
Zoho ManageEngine ServiceDesk Plus before 11302 is vulnerable to authentication bypass that allows a few REST-API URLs without authentication.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- ServiceDesk Plus'ı üreticinin yayımladığı 11302 veya daha yeni bir sürüme güncelleyin. Genel öneri
- CISA'nın gereği doğrultusunda güncellemeleri üretici talimatlarına göre uygulayın. CISA
- Güncelleme tamamlanana kadar ServiceDesk Plus arayüzüne ve REST API'sine internetten erişimi kapatın veya yalnızca güvenilir iç ağ adreslerine izin verin. Genel öneri
Ek önlemler
- ServiceDesk Plus sunucusunu doğrudan internete açmayın; erişimi VPN veya güvenlik duvarı arkasında tutun. Genel öneri
- REST API erişim günlüklerini kimlik doğrulaması olmadan yapılmış şüpheli isteklere karşı inceleyin. Genel öneri
- Sistemin açık olduğu dönemde yetkisiz erişim veya yeni oluşturulmuş hesap olup olmadığını kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Zoho ManageEngine ServiceDesk Plus (SDP) | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.