- Aktif istismar
- CWE-306
CVE-2022-21587
Oracle E-Business Suite Web Applications Desktop Integrator'da kimlik doğrulamasız ele geçirme açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1471 gün
- Kaydı açan
- oracle
Yönetici özeti
Şirketin Oracle E-Business Suite sisteminde, internetten herhangi biri tarafından şifre gerekmeden istismar edilebilen kritik bir açık vardır ve bu açığın gerçek saldırılarda kullanıldığı bilinmektedir. Finans ve operasyon verilerinin ele geçirilmesi veya değiştirilmesi riski nedeniyle yamanın gecikmeden uygulanması gerekir.
ÖzetTürkçe
Oracle E-Business Suite içindeki Web Applications Desktop Integrator ürününün Upload bileşeninde kimlik doğrulaması eksikliğinden (CWE-306) kaynaklanan kritik bir güvenlik açığı bulunmaktadır. 12.2.3 ile 12.2.11 arasındaki desteklenen sürümler etkilenmektedir. Kimlik doğrulaması yapmamış bir saldırgan, HTTP üzerinden ağ erişimiyle bu açığı kolayca istismar edebilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik bilgisi gerekmeden Web Applications Desktop Integrator'ı tamamen ele geçirebilir; gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşur (CVSS 9.8).
Kaynaktaki açıklama (İngilizce)
Vulnerability in the Oracle Web Applications Desktop Integrator product of Oracle E-Business Suite (component: Upload). Supported versions that are affected are 12.2.3-12.2.11. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Web Applications Desktop Integrator. Successful attacks of this vulnerability can result in takeover of Oracle Web Applications Desktop Integrator. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Oracle'ın bu açık için yayımladığı güvenlik güncellemesini üretici talimatlarına uygun şekilde uygulayın (12.2.3-12.2.11 sürümleri etkilenmektedir). Genel öneri
- CISA KEV gerekliliği doğrultusunda güncellemeleri üretici yönergelerine göre uygulayın. CISA
- Yama uygulanana kadar Web Applications Desktop Integrator'a HTTP erişimini güvenilir ağlarla sınırlayın ve sistemi doğrudan internete açmayın. Genel öneri
- Güncelleme sonrasında sistemde istismar belirtisi olup olmadığını kontrol edin; şüpheli durumda olay müdahale sürecini başlatın. Genel öneri
Ek önlemler
- E-Business Suite sunucularını internete doğrudan açmak yerine ters vekil sunucu veya web uygulama güvenlik duvarı (WAF) arkasında yayınlayın. Genel öneri
- Upload bileşenine yönelik olağan dışı HTTP isteklerini ve beklenmedik dosya yüklemelerini web sunucusu ve uygulama günlüklerinden izleyin. Genel öneri
- Oracle'ın periyodik kritik yama güncellemelerini düzenli takip edin ve yama sürecini hızlandırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Oracle Corporation Web Applications Desktop Integrator | ≥ 12.2.3, ≤ 12.2.11 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.