Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-287
  • CWE-306

CVE-2023-28461

Array Networks AG ve vxAG ArrayOS'ta kimlik doğrulamasız uzaktan kod çalıştırma

arraynetworks Arrayos Ag

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
5 Ağu 2026
Açık yaşı
1323 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Kas 2024 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 16 Ara 2024. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Şirketin uzaktan erişim (SSL VPN) cihazı, internet üzerinden giriş yapmadan ele geçirilebiliyor ve bu açık fiilen saldırılarda kullanılıyor. Cihazın ele geçirilmesi kurum ağına ve verilere yetkisiz erişim anlamına gelir. Bu nedenle acil önlem alınması gerekir.

ÖzetTürkçe

Array Networks Array AG Serisi ve vxAG ürünlerinin 9.4.0.481 ve öncesi sürümlerinde kritik bir işlev için kimlik doğrulama eksikliği bulunuyor. Saldırgan, HTTP başlığındaki bir flags özniteliğini kullanarak SSL VPN geçidindeki dosya sistemine kimlik doğrulaması olmadan göz atabiliyor. Ardından savunmasız bir URL üzerinden ürün istismar edilerek uzaktan kod çalıştırılabiliyor. Açık, CISA tarafından aktif olarak istismar edilen zafiyetler kataloğuna (KEV) eklenmiştir.

Saldırgan ne yapabilir?

Kimlik doğrulaması yapmayan uzak bir saldırgan SSL VPN geçidinin dosya sistemine erişebilir ve cihaz üzerinde keyfi kod çalıştırabilir. Bu da cihazın tamamen ele geçirilmesine ve iç ağa erişim sağlanmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Array Networks Array AG Series and vxAG (9.4.0.481 and earlier) allow remote code execution. An attacker can browse the filesystem on the SSL VPN gateway using a flags attribute in an HTTP header without authentication. The product could then be exploited through a vulnerable URL. The 2023-03-09 vendor advisory stated "a new Array AG release with the fix will be available soon."

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Üretici, 2023-03-09 tarihli duyurusunda düzeltmeli yeni bir Array AG sürümünün yakında yayımlanacağını belirtmiştir. Üreticinin destek kanalından güncel düzeltme veya yama durumunu kontrol edin ve mevcutsa uygulayın. Genel öneri
  2. Üretici talimatlarına göre geçici çözümleri (mitigation) uygulayın. CISA
  3. Geçici çözümler uygulanamıyorsa ürünün kullanımını bırakın. CISA
  4. Düzeltme uygulanana kadar cihazın yönetim ve VPN arayüzlerine erişimi güvenilir IP adresleriyle kısıtlayın. Genel öneri

Ek önlemler

  • Cihaz günlüklerinde olağan dışı HTTP başlıkları ve beklenmeyen dosya sistemi erişimi izlerini inceleyin; ele geçirilme şüphesi varsa olay müdahale sürecini başlatın. Genel öneri
  • VPN cihazının doğrudan internete açık olan arayüzlerini en aza indirin ve önüne ek bir güvenlik katmanı (örneğin WAF veya güvenlik duvarı kuralları) koyun. Genel öneri
  • Cihazda saklanan parolaları ve kimlik bilgilerini, olası ele geçirilme durumuna karşı değiştirmeyi değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
arraynetworks Arrayos Ag ≤ 9.4.0.481 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  3. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.