- Aktif istismar
- CWE-444
CVE-2023-41265
Qlik Sense Enterprise for Windows'ta HTTP istek tünelleme ile yetki yükseltme
- Yayımlandı
- Güncellendi
- 5 Ağu 2026
- Açık yaşı
- 1156 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu açık, kuruluşunuzdaki Qlik Sense sistemlerinde bir saldırganın yetkisini yükselterek sistemin arka planına erişmesine izin verebilir. Açığın aktif olarak istismar edildiği bilinmektedir, bu nedenle güncelleme acilen yapılmalıdır. Güncelleme yapılamıyorsa sistemin internete açık erişimi kısıtlanmalıdır.
ÖzetTürkçe
Qlik Sense Enterprise for Windows'ta bir HTTP istek tünelleme (HTTP Request Tunneling, CWE-444) açığı bulunmaktadır. Uzaktan bir saldırgan, ham HTTP isteğinin içine başka istekler gizleyerek bunların depo (repository) uygulamasını barındıran arka uç sunucuda çalıştırılmasını sağlayabilir. Etkilenen sürümler: May 2023 Patch 3 ve öncesi, February 2023 Patch 7 ve öncesi, November 2022 Patch 10 ve öncesi ile August 2022 Patch 12 ve öncesi. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.
Saldırgan ne yapabilir?
Düşük yetkili bir uzak saldırgan, yetkisini yükselterek arka uç sunucu üzerinde kendi seçtiği istekleri çalıştırabilir. Bu durum verilerin gizliliği ve bütünlüğü açısından yüksek risk oluşturur.
Kaynaktaki açıklama (İngilizce)
An HTTP Request Tunneling vulnerability found in Qlik Sense Enterprise for Windows for versions May 2023 Patch 3 and earlier, February 2023 Patch 7 and earlier, November 2022 Patch 10 and earlier, and August 2022 Patch 12 and earlier allows a remote attacker to elevate their privilege by tunneling HTTP requests in the raw HTTP request. This allows them to send requests that get executed by the backend server hosting the repository application. This is fixed in August 2023 IR, May 2023 Patch 4, February 2023 Patch 8, November 2022 Patch 11, and August 2022 Patch 13.
CISA'nın önerdiği eylem (İngilizce)
Apply remediations or mitigations per vendor instructions or discontinue use of the product if remediation or mitigations are unavailable.
Ne yapmalı?
- Qlik Sense Enterprise for Windows'u üreticinin düzeltilmiş sürümlerine güncelleyin: August 2023 IR, May 2023 Patch 4, February 2023 Patch 8, November 2022 Patch 11 veya August 2022 Patch 13. Genel öneri
- Üreticinin talimatlarına göre düzeltme veya hafifletme önlemlerini uygulayın; bunlar mümkün değilse ürünün kullanımını sonlandırın. CISA
- Güncelleme yapılana kadar Qlik Sense sunucusuna erişimi güvenilir ağlarla sınırlayın ve internetten doğrudan erişimi kapatın. Genel öneri
Ek önlemler
- Qlik Sense sunucularının günlüklerini olağandışı veya hatalı biçimlendirilmiş HTTP istekleri ve beklenmedik yetki değişiklikleri açısından inceleyin. Genel öneri
- Sunucunun önüne bir ters vekil veya web uygulama güvenlik duvarı (WAF) yerleştirip biçimi bozuk HTTP isteklerini engelleyin. Genel öneri
- Açık istismar edildiği için sistemin ele geçirilmiş olabileceğini göz önünde bulundurun; yetkili hesapları ve olağandışı etkinlikleri gözden geçirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Qlik Sense | august_2022 | – |
| february_2023 | – | |
| may_2023 | – | |
| november_2022 | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Etkilenen sürüm bilgisi güncellendi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.