Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-1188

CVE-2022-24706

Apache CouchDB varsayılan kurulumunda kimlik doğrulamasız yönetici erişimi

Apache Software Foundation Apache CouchDB

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1646 gün
Kaydı açan
apache
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Ağu 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Eyl 2022.

Yönetici özeti

Güncellenmemiş ve ağa açık bir CouchDB sunucusu, herhangi bir şifre gerekmeden ele geçirilebilir. Açık aktif olarak istismar edildiği için hızlı müdahale gerekir. Veri kaybı, veri sızıntısı ve sunucunun kötüye kullanılması riskleri söz konusudur.

ÖzetTürkçe

Apache CouchDB 3.2.1 ve öncesi sürümlerde, varsayılan ayarlarla kurulmuş ve yeterince korunmamış bir kurulum kimlik doğrulaması yapılmadan erişilebilir durumdadır. Saldırgan bu açığı kullanarak yönetici yetkisi elde edebilir. CouchDB belgelerinde kurulumun güvenli hale getirilmesi ve önüne güvenlik duvarı konulması her zaman önerilmiştir; ancak varsayılan yapılandırma bu önlemler alınmadığında risk oluşturmaktadır. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesindedir.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan yönetici yetkisi kazanarak veriyi okuyabilir, değiştirebilir veya silebilir ve sunucuda uzaktan kod çalıştırabilir. Bu durum sistemin gizlilik, bütünlük ve erişilebilirliğini tamamen tehlikeye atar.

Kaynaktaki açıklama (İngilizce)

In Apache CouchDB prior to 3.2.2, an attacker can access an improperly secured default installation without authenticating and gain admin privileges. The CouchDB documentation has always made recommendations for properly securing an installation, including recommending using a firewall in front of all CouchDB installations.

Üreticinin geçici önlemi (İngilizce)

CouchDB 3.2.2 and onwards will refuse to start with the former default
Erlang cookie value of monster. Installations that upgrade to this
versions are forced to choose a different value.

In addition, all binary packages have been updated to bind epmd as
well as the CouchDB distribution port to 127.0.0.1 and/or ::1
respectively.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. CouchDB'yi 3.2.2 veya daha yeni bir sürüme yükseltin. Bu sürümler, eski varsayılan Erlang cookie değeri olan monster ile başlamayı reddeder ve yükseltme sırasında farklı bir değer seçmenizi zorunlu kılar. Üretici
  2. Yükseltme sırasında yeni bir Erlang cookie değeri belirleyin; tahmin edilmesi zor, uzun ve rastgele bir değer kullanın. Üretici
  3. Güncel ikili paketler epmd ile CouchDB dağıtım portunu yalnızca 127.0.0.1 ve/veya ::1 adreslerine bağlar. Paketle kurulum yaptıysanız bu bağlamanın etkin olduğunu doğrulayın. Üretici
  4. Satıcı talimatlarına uygun şekilde güncellemeleri uygulayın. CISA

Ek önlemler

  • CouchDB sunucularının önüne güvenlik duvarı koyun ve veritabanı ile dağıtım portlarına yalnızca güvenilir ağlardan erişime izin verin. Genel öneri
  • CouchDB'yi doğrudan internete açmayın; erişimi gerekiyorsa ters vekil sunucu ve kimlik doğrulama katmanı üzerinden sağlayın. Genel öneri
  • Sürüm 3.2.1 veya öncesini kullanan sunucularda yetkisiz yönetici hesabı oluşturulup oluşturulmadığını ve beklenmeyen yapılandırma değişikliklerini kontrol edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apache Software Foundation Apache CouchDB ≤ 3.2.1 –

Kaynaklar13 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.