Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22
  • CWE-138

CVE-2022-26352

dotCMS ContentResource API'de dizin geçişi ile kısıtsız dosya yükleme

dotCMS

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1563 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Ağu 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Eyl 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Bu açık, saldırganların kimlik doğrulaması olmadan web sunucusuna zararlı dosya yerleştirip sunucunun denetimini ele geçirmesine imkân tanıyor ve aktif olarak istismar edildiği bilinmektedir. Etkilenen dotCMS sürümlerini kullanan kurumlar için veri sızıntısı ve hizmet kesintisi riski yüksektir, bu nedenle güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

dotCMS 3.0 ile 22.02 arasındaki sürümlerde ContentResource API, çok parçalı (multipart) form isteğiyle gönderilen dosya adını başlangıçta temizlemiyor. Bu durum dizin geçişine (directory traversal) yol açarak dosyanın amaçlanan depolama konumunun dışına kaydedilmesine izin veriyor. Anonim içerik oluşturma özelliği etkinse kimliği doğrulanmamış bir saldırgan .jsp gibi çalıştırılabilir bir dosya yükleyebiliyor. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesindedir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan sunucuya çalıştırılabilir dosya yükleyerek uzaktan kod çalıştırma elde edebilir ve sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini tamamen tehlikeye atabilir.

Kaynaktaki açıklama (İngilizce)

An issue was discovered in the ContentResource API in dotCMS 3.0 through 22.02. Attackers can craft a multipart form request to post a file whose filename is not initially sanitized. This allows directory traversal, in which the file is saved outside of the intended storage location. If anonymous content creation is enabled, this allows an unauthenticated attacker to upload an executable file, such as a .jsp file, that can lead to remote code execution.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. dotCMS'i üreticinin bu açığı gideren güncel sürümüne yükseltin; üreticinin yayımladığı güvenlik talimatlarını uygulayın. Genel öneri
  2. CISA'nın gerekli eylemi doğrultusunda güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa anonim içerik oluşturma özelliğini devre dışı bırakın ve ContentResource API'ye dışarıdan erişimi kısıtlayın. Genel öneri
  4. Sunucuda beklenmeyen .jsp veya diğer çalıştırılabilir dosyaların varlığını kontrol edin; bulursanız sistemi ele geçirilmiş kabul ederek olay müdahalesi başlatın. Genel öneri

Ek önlemler

  • Web uygulaması dizinlerinde yetkisiz dosya oluşumunu dosya bütünlüğü izleme araçlarıyla takip edin. Genel öneri
  • dotCMS sürecini en az yetkiyle çalıştırın ve yükleme dizinlerinde betik çalıştırmayı engelleyin. Genel öneri
  • Web uygulama güvenlik duvarı (WAF) ile dosya adlarında dizin geçişi desenleri içeren multipart istekleri engelleyin. Genel öneri
  • Erişim ve uygulama günlüklerinde anonim kullanıcılardan gelen şüpheli yükleme isteklerini inceleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
dotCMS ≥ 3.0, ≤ 22.02 –

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  3. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.