Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-94
  • CWE-917

CVE-2022-22963

Spring Cloud Function'da SpEL üzerinden uzaktan kod çalıştırma açığı

oracle Banking Branchoracle Banking Cash Managementoracle Banking Corporate Lending Process Management

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1671 gün
Kaydı açan
vmware
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Ağu 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Eyl 2022.

Yönetici özeti

Bu açık, saldırganın dışarıdan herhangi bir şifre gerekmeden uygulama sunucusunu kontrol altına almasına izin verebilir. Açığın aktif olarak istismar edildiği bilindiği için risk çok yüksektir. Etkilenen sistemlerin acilen güncellenmesi gerekir.

ÖzetTürkçe

Spring Cloud Function'ın yönlendirme (routing) özelliği, kullanıcının gönderdiği özel hazırlanmış bir SpEL ifadesini routing-expression olarak işleyebiliyor. Bu durum kod enjeksiyonuna (CWE-94) ve uzaktan kod çalıştırmaya yol açabiliyor. Sürüm 3.1.6, 3.2.2 ve daha eski, desteklenmeyen sürümler etkileniyor. Açık, CISA'nın bilinen ve aktif olarak istismar edilen açıklar (KEV) listesinde yer alıyor.

Saldırgan ne yapabilir?

Kimlik doğrulaması olmadan ağ üzerinden saldırgan, hedef sunucuda keyfi kod çalıştırabilir ve yerel kaynaklara erişebilir. Bu da sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine neden olabilir.

Kaynaktaki açıklama (İngilizce)

In Spring Cloud Function versions 3.1.6, 3.2.2 and older unsupported versions, when using routing functionality it is possible for a user to provide a specially crafted SpEL as a routing-expression that may result in remote code execution and access to local resources.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Spring Cloud Function'ı kullanan uygulamaları belirlemek için envanter çıkarın ve 3.1.6, 3.2.2 veya daha eski sürümleri tespit edin. Genel öneri
  2. Üretici talimatlarına uygun olarak güncellemeyi uygulayın: Spring Cloud Function'ı üreticinin yayımladığı düzeltilmiş sürüme yükseltin. CISA
  3. Desteklenmeyen eski sürümler kullanılıyorsa desteklenen ve düzeltme içeren bir sürüme geçin. Genel öneri
  4. Güncelleme hemen yapılamıyorsa yönlendirme işlevselliğine erişimi ağ düzeyinde kısıtlayın ve uygulamayı internete doğrudan açmaktan kaçının. Genel öneri
  5. Güncellemeden sonra uygulamayı yeniden başlatıp çalışan sürümü doğrulayın. Genel öneri

Ek önlemler

  • Sunucu günlüklerinde ve HTTP isteklerinde şüpheli routing-expression değerlerini ve beklenmeyen komut çalıştırma izlerini arayın. Genel öneri
  • Açığın aktif istismar edildiği göz önüne alınarak, güncelleme öncesinde sistemde sızma belirtileri (yeni kullanıcılar, bilinmeyen süreçler, dışarıya giden bağlantılar) olup olmadığını kontrol edin. Genel öneri
  • Uygulamaları en düşük yetkili hesapla çalıştırın ve sunucudan dışarıya giden trafiği kısıtlayın. Genel öneri
  • Bir web uygulama güvenlik duvarı (WAF) ile bu tür istekleri filtrelemeyi değerlendirin; ancak bunu yama yerine geçici önlem olarak görün. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler29 yazılım

YazılımEtkilenenDüzeltildiği sürüm
oracle Banking Branch 14.5 –
oracle Banking Cash Management 14.5 –
oracle Banking Corporate Lending Process Management 14.5 –
oracle Banking Credit Facilities Process Management 14.5 –
oracle Banking Electronic Data Exchange For Corporates 14.5 –
oracle Banking Liquidity Management 14.2 –
14.5 –
oracle Banking Origination 14.5 –
oracle Banking Supply Chain Finance 14.5 –
oracle Banking Trade Finance Process Management 14.5 –
oracle Banking Virtual Account Management 14.5 –
oracle Communications Cloud Native Core Automated Test Suite 1.9.0 –

ve 36 satır daha

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  3. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.