Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-290

CVE-2024-4358

Telerik Report Server'da kimlik doğrulama atlatma açığı

Progress Software Corporation Telerik Report Server

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
882 gün
Kaydı açan
ProgressSoftware
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 13 Haz 2024 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 4 Tem 2024.

Yönetici özeti

Raporlama sunucusuna giriş yapmadan erişilebilmesine yol açan kritik bir güvenlik açığı vardır ve bu açık şu anda saldırganlar tarafından aktif olarak kullanılmaktadır. Rapor verilerinin ve sunucunun kontrolünün ele geçirilmesi riski bulunduğundan güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

Progress Telerik Report Server'ın IIS üzerinde çalışan 2024 Q1 (10.0.24.305) ve öncesi sürümlerinde bir kimlik doğrulama atlatma açığı bulunmaktadır. Kimliği doğrulanmamış bir saldırgan, sunucunun yalnızca yetkili kullanıcılara açık olması gereken işlevlerine erişebilir. Etkilenen sürüm aralığı 1.0.0 ile 10.1.24.514 öncesidir. Açık, CISA'nın bilinen ve istismar edilen açıklar (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan yetkili işlevlere erişerek gizlilik, bütünlük ve erişilebilirlik üzerinde ciddi etki yaratabilir. Açığın CVSS puanı 9.8 olup uzaktan, düşük karmaşıklıkla istismar edilebilmektedir.

Kaynaktaki açıklama (İngilizce)

In Progress Telerik Report Server, version 2024 Q1 (10.0.24.305) or earlier, on IIS, an unauthenticated attacker can gain access to Telerik Report Server restricted functionality via an authentication bypass vulnerability.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Telerik Report Server'ı üreticinin düzelttiği 10.1.24.514 sürümüne veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncelleme hemen yapılamıyorsa üreticinin yönergelerindeki hafifletme önlemlerini uygulayın; önlem uygulanamıyorsa ürünün kullanımını durdurun. CISA
  3. Güncelleme tamamlanana kadar sunucuya internetten erişimi güvenlik duvarı ile kısıtlayın ve yalnızca güvenilir ağlara izin verin. Genel öneri

Ek önlemler

  • Sunucu kayıtlarını ve kullanıcı hesaplarını inceleyin; beklenmeyen yeni hesap veya yetkili işlem olup olmadığını kontrol edin. Genel öneri
  • Report Server arayüzünü mümkünse doğrudan internete açmayın; VPN veya ters vekil arkasında yayınlayın. Genel öneri
  • Yazılım envanterinizi gözden geçirerek eski Telerik Report Server sürümlerini tespit edin ve düzenli yama takibi yapın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Progress Software Corporation Telerik Report Server ≥ 1.0.0, < 10.1.24.514 10.1.24.514

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.