- Aktif istismar
- CWE-611
CVE-2025-2776
SysAid On-Prem'de kimlik doğrulamasız XXE açığı: yönetici hesabı ele geçirilebilir
- Yayımlandı
- Güncellendi
- 19 Kas 2025
- Açık yaşı
- 539 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Destek talebi yönetim yazılımı SysAid'in şirket içi sürümünde, giriş yapmadan istismar edilebilen kritik bir açık var ve saldırganlar bunu fiilen kullanıyor. Başarılı bir saldırı, sistemdeki yazışmaların ve kayıtların ele geçirilmesine yol açabilir. Etkilenen sürümü kullanan kurumların acilen harekete geçmesi gerekir.
ÖzetTürkçe
SysAid On-Prem 23.3.40 ve öncesi sürümlerde, Server URL işleme işlevinde kimlik doğrulaması gerektirmeyen bir XML harici varlık enjeksiyonu (XXE, CWE-611) açığı bulunmaktadır. Açık, saldırganın sunucudaki dosyaları okumasına ve yönetici hesabını ele geçirmesine olanak tanır. Zafiyet CISA tarafından aktif olarak istismar edilen açıklar (KEV) listesine eklenmiştir ve istismarı gösteren herkese açık bir teknik analiz bulunmaktadır. Şirket içinde (on-prem) SysAid kuran kurumlar etkilenmektedir.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan ağ üzerinden sunucudaki dosyaları okuyabilir ve yönetici hesabını ele geçirerek SysAid sistemi üzerinde tam yetki elde edebilir. Ayrıca hizmetin kısmen aksamasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
SysAid On-Prem versions <= 23.3.40 are vulnerable to an unauthenticated XML External Entity (XXE) vulnerability in the Server URL processing functionality, allowing for administrator account takeover and file read primitives.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- SysAid On-Prem'i 23.3.40 sonrasındaki, üretici tarafından yayımlanan düzeltilmiş sürüme güncelleyin; güncelleme ve azaltma talimatları için üreticinin güvenlik duyurusuna bakın. Genel öneri
- Güncelleme hemen yapılamıyorsa SysAid sunucusuna internetten erişimi kısıtlayın veya geçici olarak ağ erişimini kapatın. Genel öneri
- Üretici talimatlarına göre azaltmaları uygulayın; azaltma mümkün değilse ürünün kullanımını bırakın. CISA
- Sistemin zaten ele geçirilmiş olabileceğini varsayarak yönetici hesaplarını, günlük kayıtlarını ve sunucudaki şüpheli değişiklikleri inceleyin; yönetici parolalarını ve sunucuda saklanan gizli bilgileri yenileyin. Genel öneri
Ek önlemler
- SysAid yönetim arayüzünü doğrudan internete açmayın; VPN veya IP kısıtlaması arkasında tutun. Genel öneri
- Sunucuya gelen olağan dışı istekleri ve Server URL ile ilgili anormal XML içeren trafiği web uygulama güvenlik duvarı ve günlüklerle izleyin. Genel öneri
- Yönetici hesapları için çok faktörlü kimlik doğrulama kullanın ve yönetici hesabı değişikliklerini düzenli denetleyin. Genel öneri
- SysAid sunucusunun dosya sistemi izinlerini asgari yetki ilkesine göre daraltın ve hassas yapılandırma dosyalarını koruyun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SysAid On-Prem | ≤ 23.3.40 | – |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- documentation.sysaid.com/docs/24-40-60 Üretici bülteni
- labs.watchtowr.com/sysowned-your-friendly-rce-support-ticket İstismar kodu ya da analiz
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.