Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-94

CVE-2023-25717

Ruckus Wireless yönetim arayüzünde kimlik doğrulamasız uzaktan kod çalıştırma

commscope Ruckus Smartzone Firmwareruckuswireless Ruckus Wireless Adminruckuswireless Smartzone Ap

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1353 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 12 May 2023 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 2 Haz 2023.

Yönetici özeti

Kablosuz ağ cihazlarının yönetim arayüzü, giriş yapmadan internet üzerinden ele geçirilebilmektedir ve açığın saldırganlar tarafından fiilen kullanıldığı bilinmektedir. Cihazın ele geçirilmesi şirket ağına erişim ve veri kaybı riski doğurur. Güncellemelerin vakit kaybetmeden uygulanması gerekir.

ÖzetTürkçe

Ruckus Wireless Admin arayüzünün 10.4 sürümüne kadar olan sürümlerinde, kimlik doğrulaması gerektirmeyen özel hazırlanmış bir HTTP GET isteği ile uzaktan kod çalıştırma mümkündür. Açık, giriş formu işleyicisine gönderilen parametrelerin yeterince denetlenmemesinden (kod enjeksiyonu, CWE-94) kaynaklanır. Ruckus Wireless ürünlerinin yönetim arayüzünü kullanan kurumlar etkilenir. Bu zafiyet CISA tarafından aktif olarak istismar edilen zafiyetler listesine (KEV) eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, ağ üzerinden herhangi bir kimlik bilgisi olmadan cihaz üzerinde kendi komutlarını çalıştırabilir. Bu da cihazın tamamen ele geçirilmesine, yapılandırmanın değiştirilmesine ve ağın içine sızılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Ruckus Wireless Admin through 10.4 allows Remote Code Execution via an unauthenticated HTTP GET Request, as demonstrated by a /forms/doLogin?login_username=admin&password=password$(curl substring.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions or disconnect product if it is end-of-life.

Ne yapmalı?

  1. Etkilenen Ruckus Wireless ürünleri için üreticinin yayımladığı güvenlik güncellemesini üreticinin talimatlarına göre uygulayın. Genel öneri
  2. Ürün ömrünü doldurmuşsa ve güncelleme alamıyorsa cihazı ağdan çıkarın; CISA da bu durumda cihazın bağlantısının kesilmesini önerir. CISA
  3. Güncelleme uygulanana kadar yönetim arayüzüne erişimi güvenilir yönetim ağlarıyla sınırlayın ve internetten erişimi kapatın. Genel öneri

Ek önlemler

  • Cihazların yönetim arayüzünü hiçbir zaman doğrudan internete açmayın; yalnızca VPN veya ayrı bir yönetim VLAN'ı üzerinden erişilebilir kılın. Genel öneri
  • Yönetim arayüzüne yönelik olağan dışı HTTP isteklerini ve giriş formuna gelen şüpheli parametreleri günlüklerde izleyin. Genel öneri
  • Cihazlarda beklenmeyen yapılandırma değişikliği, bilinmeyen süreç veya dışarıya yönelik şüpheli bağlantı olup olmadığını kontrol edin; ele geçirildiğinden şüpheleniyorsanız cihazı sıfırlayıp parolaları yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler3 yazılım

YazılımEtkilenenDüzeltildiği sürüm
commscope Ruckus Smartzone Firmware < 5.2.1.3 5.2.1.3
6.1.0.0.935 –
< 5.2.1.3.1695 5.2.1.3.1695
ruckuswireless Ruckus Wireless Admin ≤ 10.4 –
ruckuswireless Smartzone Ap < 6.1.0.0.9240 6.1.0.0.9240
< 5.2.2.0.2064 5.2.2.0.2064
< 3.6.2.0.795 3.6.2.0.795
< 6.1.1.0.1274 6.1.1.0.1274

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. Yama ya da düzeltilmiş sürüm çıktı
  3. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  4. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.