Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-611

CVE-2024-34102

Adobe Commerce'te XXE açığı: kimlik doğrulamasız uzaktan kod çalıştırma

Adobe Commerce

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
867 gün
Kaydı açan
adobe
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 17 Tem 2024 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 7 Ağu 2024.

Yönetici özeti

Online mağaza altyapısı olarak kullanılan Adobe Commerce'teki bu kritik açık, saldırganların sisteme giriş yapmadan mağazanın kontrolünü ele geçirmesine imkân verebilir. Açığın aktif olarak istismar edildiği bilindiği için güncelleme gecikmeden yapılmalıdır. İstismar halinde müşteri verilerinin ve sipariş bilgilerinin ele geçirilmesi ile hizmet kesintisi yaşanabilir.

ÖzetTürkçe

Adobe Commerce 2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 ve daha eski sürümlerinde XML harici varlık referansının yetersiz kısıtlanmasından (XXE, CWE-611) kaynaklanan bir güvenlik açığı bulunuyor. Saldırgan, harici varlıklara başvuran özel hazırlanmış bir XML belgesi göndererek açığı istismar edebiliyor. İstismar için kimlik doğrulaması ya da kullanıcı etkileşimi gerekmiyor. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) kataloğunda yer alıyor.

Saldırgan ne yapabilir?

Saldırgan ağ üzerinden, kimlik bilgisi olmadan keyfi kod çalıştırabilir. Başlıktaki ifadeye göre XXE ile şifreleme anahtarı ve diğer gizli bilgiler sızdırılarak tam yönetici erişimi elde edilebilir.

Kaynaktaki açıklama (İngilizce)

Adobe Commerce versions 2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 and earlier are affected by an Improper Restriction of XML External Entity Reference ('XXE') vulnerability that could result in arbitrary code execution. An attacker could exploit this vulnerability by sending a crafted XML document that references external entities. Exploitation of this issue does not require user interaction.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Adobe'nin güvenlik bülteninde yayımlanan güncellemeyi veya yamayı etkilenen Adobe Commerce sürümlerine (2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 ve öncesi) vakit kaybetmeden uygulayın. Genel öneri
  2. CISA gereği: Üretici talimatlarına göre azaltma önlemlerini uygulayın; önlemler mevcut değilse ürünün kullanımını durdurun. CISA
  3. Yama uygulanana kadar mağazaya erişimi güvenlik duvarı veya WAF ile kısıtlayın ve XML içeren şüpheli isteklere karşı kuralları sıkılaştırın. Genel öneri
  4. Sistem istismar edilmiş olabilir ihtimaline karşı şifreleme anahtarını ve yönetici hesap parolalarını, API anahtarlarını ve diğer gizli bilgileri yenileyin. Genel öneri

Ek önlemler

  • Web sunucusu ve uygulama günlüklerinde, harici varlık referansı içeren olağandışı XML isteklerini ve yeni oluşturulmuş yönetici hesaplarını inceleyin. Genel öneri
  • Uygulama sunucusunun dış ağa ve iç kaynaklara erişimini çıkış trafiği filtreleriyle sınırlayın. Genel öneri
  • Yönetim panelini yalnızca güvenilir IP adreslerine açın ve çok faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
  • Adobe güvenlik bültenlerini düzenli takip edin ve yamaları hızlı uygulayacak bir süreç oluşturun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Adobe Commerce ≤ 2.4.4-p8 –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.