- Aktif istismar
- Yama var
- CWE-89
CVE-2024-6670
WhatsUp Gold'da kimlik doğrulamasız SQL enjeksiyonu (HasErrors)
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 789 gün
- Kaydı açan
- ProgressSoftware
Yönetici özeti
Ağ izleme sisteminizdeki bu kritik açık, dışarıdan herhangi birinin giriş yapmadan kullanıcı parola bilgisine ulaşmasına olanak tanıyor ve aktif olarak istismar ediliyor. Ele geçirilen bir izleme sistemi tüm ağ altyapınız hakkında bilgi sızdırabilir. Güncellemenin gecikmeden uygulanması gerekiyor.
ÖzetTürkçe
Progress WhatsUp Gold ürününün 2024.0.0 sürümünden önceki sürümlerinde (2023.1.0 ve üzeri, 2024.0.0 öncesi) bir SQL enjeksiyonu açığı bulunuyor. Kimlik doğrulaması yapmamış bir saldırgan bu açık üzerinden kullanıcının şifrelenmiş parolasını elde edebiliyor. Açık, CISA'nın bilinen ve aktif olarak istismar edilen açıklar (KEV) listesine 16 Eylül 2024'te eklendi.
Saldırgan ne yapabilir?
Uzaktan ve kimlik doğrulaması olmadan saldırı yapılabiliyor; saldırgan şifrelenmiş kullanıcı parolasını alarak kimlik doğrulamayı atlayabilir ve izleme sistemi üzerinde yetkisiz erişim kazanabilir. CVSS vektörü gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki gösteriyor.
Kaynaktaki açıklama (İngilizce)
In WhatsUp Gold versions released before 2024.0.0, a SQL Injection vulnerability allows an unauthenticated attacker to retrieve the users encrypted password.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- WhatsUp Gold'u vendor tarafından düzeltme içeren 2024.0.0 sürümüne veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme hemen yapılamıyorsa üretici talimatlarındaki hafifletme önlemlerini uygulayın; önlemler mevcut değilse ürünün kullanımını durdurun. CISA
- Güncelleme tamamlanana kadar WhatsUp Gold arayüzüne internetten erişimi engelleyin ve yalnızca güvenilir yönetim ağlarından erişime izin verin. Genel öneri
Ek önlemler
- Sistemin erişim ve uygulama günlüklerini şüpheli veya olağan dışı isteklere ve yetkisiz oturumlara karşı inceleyin; açık istismar ediliyor olduğundan sistemin ele geçirilmiş olabileceğini göz önünde bulundurun. Genel öneri
- Güncellemeden sonra WhatsUp Gold kullanıcı hesaplarının parolalarını değiştirin ve sistemde kayıtlı kimlik bilgilerini yenileyin. Genel öneri
- Yönetim arayüzlerini güvenlik duvarı veya VPN arkasında tutun, doğrudan internete açmayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Progress Software Corporation WhatsUp Gold | ≥ 2023.1.0, < 2024.0.0 | 2024.0.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.