- Aktif istismar
- Yama var
- CWE-424
CVE-2024-58136
Yii 2 çatısında behavior ekleme hatası kritik güvenlik açığına yol açıyor
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 566 gün
- Kaydı açan
- mitre
Yönetici özeti
Yii 2 çatısıyla geliştirilmiş web uygulamaları, güncellenmediği takdirde ciddi bir saldırı riski taşıyor. Açık fiilen istismar edildiği için hızlı müdahale gerekiyor. Çatının güncel sürüme yükseltilmesi riski ortadan kaldırır.
ÖzetTürkçe
Yii 2 çatısının 2.0.52 öncesi sürümleri, dizi anahtarıyla tanımlanan behavior nesnelerinin eklenmesini hatalı işliyor. Bu durum, daha önce giderilen CVE-2024-4990 açığının yeniden ortaya çıkmasına (regresyon) neden oluyor. Açık, Şubat-Nisan 2025 arasında gerçek saldırılarda istismar edildi ve CISA KEV listesine eklendi. 2.0.52 öncesi Yii 2 sürümleriyle geliştirilmiş tüm uygulamalar etkilenir.
Saldırgan ne yapabilir?
Saldırgan, korumayı alternatif bir yol üzerinden aşarak gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratabilir. CVSS vektörü, kapsam değişikliği ile tam sistem etkisine işaret ediyor.
Kaynaktaki açıklama (İngilizce)
Yii 2 before 2.0.52 mishandles the attaching of behavior that is defined by an __class array key, a CVE-2024-4990 regression, as exploited in the wild in February through April 2025.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Yii 2 çatısını, düzeltmenin yer aldığı 2.0.52 sürümüne veya daha yenisine yükseltin. Üretici
- CISA gereği, üreticinin yönergelerindeki azaltım önlemlerini uygulayın; azaltım mümkün değilse ürünün kullanımını bırakın. CISA
- Yükseltme hemen yapılamıyorsa etkilenen uygulamaya internetten erişimi kısıtlayın veya bir web uygulama güvenlik duvarı arkasına alın. Genel öneri
Ek önlemler
- Yii kullanan tüm uygulamaları envanterleyin ve bağımlılık sürümlerini düzenli kontrol edin. Genel öneri
- Şubat 2025 sonrası sunucu ve uygulama günlüklerinde olağan dışı istekleri ve beklenmeyen süreç veya dosya değişikliklerini inceleyin. Genel öneri
- Uygulama kullanıcılarının yetkilerini ve web sunucusu hesabının dosya sistemi erişimini en aza indirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Yiiframework Yii | ≥ 2, < 2.0.52 | 2.0.52 |
Kaynaklar7 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.