- Aktif istismar
- CWE-502
CVE-2022-21445
Oracle ADF Faces'te güvenilmeyen veri seri durumdan çıkarma açığı
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 1652 gün
- Kaydı açan
- oracle
Yönetici özeti
Bu açık, internetten erişilebilen Oracle ADF uygulamalarının herhangi bir giriş bilgisi olmadan saldırganlar tarafından ele geçirilmesine yol açabilir. Açığın gerçek saldırılarda kullanıldığı bilindiği için acil önlem alınmalıdır. Yamanın gecikmesi veri kaybı ve hizmet kesintisi riskini artırır.
ÖzetTürkçe
Oracle Fusion Middleware bileşeni Oracle Application Development Framework (ADF) içindeki ADF Faces bileşeninde güvenilmeyen verinin seri durumdan çıkarılması (CWE-502) zafiyeti bulunuyor. Etkilenen sürümler 12.2.1.3.0 ve 12.2.1.4.0'dır. Kimlik doğrulaması olmayan bir saldırgan HTTP üzerinden ağ erişimiyle bu açığı kolayca istismar edebilir. Açık, CISA KEV listesinde yer alıyor ve aktif olarak istismar edildiği biliniyor. ADF, Oracle JDeveloper ürünü üzerinden indirildiği için bu ürünü kullanan ortamlar da değerlendirilmelidir.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan Oracle ADF'nin tamamen ele geçirilmesini sağlayabilir; gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşur. CVSS puanı 9.8'dir (kritik).
Kaynaktaki açıklama (İngilizce)
Vulnerability in the Oracle Application Development Framework (ADF) product of Oracle Fusion Middleware (component: ADF Faces). Supported versions that are affected are 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Application Development Framework (ADF). Successful attacks of this vulnerability can result in takeover of Oracle Application Development Framework (ADF). Note: Oracle Application Development Framework (ADF) is downloaded via Oracle JDeveloper Product. Please refer to Fusion Middleware Patch Advisor for more details. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Oracle'ın ilgili Critical Patch Update yamasını uygulayın; yamaların ayrıntıları için Oracle Fusion Middleware Patch Advisor'a başvurun. Genel öneri
- Etkilenen sürümleri (12.2.1.3.0 ve 12.2.1.4.0) kullanan tüm ADF uygulamalarını ve bunları barındıran sunucuları, JDeveloper üzerinden gelen ADF bileşenleri dahil, envanterde belirleyin. Genel öneri
- Üretici talimatlarına göre azaltıcı önlemleri uygulayın; önlemler mümkün değilse ürünün kullanımını durdurun. CISA
- Yama uygulanana kadar etkilenen uygulamalara internetten erişimi güvenlik duvarı veya ters vekil sunucu ile kısıtlayın. Genel öneri
Ek önlemler
- ADF uygulamalarını gerekmedikçe doğrudan internete açmayın; erişimi VPN veya IP izin listesi ile sınırlayın. Genel öneri
- Web uygulaması güvenlik duvarı (WAF) ile şüpheli seri hale getirilmiş nesne içeren HTTP isteklerini izleyin ve engelleyin. Genel öneri
- Uygulama sunucusu günlüklerinde beklenmedik süreç oluşumu veya anormal giden bağlantıları izleyin; olası ele geçirilmeye karşı sunucuyu inceleyin. Genel öneri
- Uygulama sunucusunu en az yetkiyle çalıştırın ve ağ segmentasyonu uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Oracle Corporation Application Development Framework (ADF) | 12.2.1.3.0 | – |
| 12.2.1.4.0 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.