- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Esri
Yönetici özeti
Bu açık, ArcGIS Server kullanan kuruluşlar için kritik düzeyde bir risk oluşturmaktadır. Saldırganların veritabanı verilerine erişmesi veya bu verileri değiştirmesi mümkün olabilir. Etkilenen sistemlerin en kısa sürede güncellenmesi önerilir.
ÖzetTürkçe
Esri ArcGIS Server'ın 12.1 ve daha eski sürümlerinde, Windows ve Linux üzerinde SQL enjeksiyonu açığı tespit edilmiştir. Kimlik doğrulaması yapılmış uzaktan bir saldırgan, servise erişerek veritabanına özgü, normalde izin verilmemesi gereken işlevleri çalıştırabilir. Servis erişim yapılandırmasına bağlı olarak, "public" olarak yapılandırılmış hizmetlerde kimliği doğrulanmamış saldırganlar da bu riski taşıyabilir.
Saldırgan ne yapabilir?
Başarılı bir saldırı, veritabanı üzerinde yetkisiz işlemler yapılmasına ve veri okunmasına veya değiştirilmesine yol açabilir. CVSS puanı 9.8 olup, kritik seviyededir.
Kaynaktaki açıklama (İngilizce)
There is a SQL injection vulnerability in Esri ArcGIS Server versions 12.1 and earlier on Windows and Linux that may allow a remote attacker with privileges to access the service (which could, depending on the service being configured in a non-default access configuration “public”, include an anonymous attacker) to issue database specific functions that should not be allowed. A patch is provided for ArcGIS Server software in General Availability and Extended support status, which includes versions 12.1, 12.0, 11.5, 11.3, and 11.1. Other versions are in mature or retired status, which are not patch eligible. Users working with unlisted versions are advised to upgrade and apply the patch.
Ne yapmalı?
- Esri'nin yayınladığı yamayı uygulayın; sürüm 12.1 ve sonrası bu açıktan etkilenmemektedir. Desteklenen 12.0, 11.5, 11.3 ve 11.1 sürümleri için de yama sağlanmıştır. Üretici
- Yama uygulanamayan veya desteklenmeyen sürümleri kullanan sistemleri, güvenlik açığı giderilmiş bir sürüme yükseltin. Üretici
- Yama uygulanana kadar, ArcGIS Server servislerini internete açık ağlardan erişime kapatın ve gereksiz servisleri devre dışı bırakın. Genel öneri
Ek önlemler
- Servislerin erişim yapılandırmasını gözden geçirin ve "public" erişimine açık servisleri sınırlandırın. Genel öneri
- Veritabanı kullanıcılarının yetkilerini en az ayrıcalık ilkesine göre düzenleyin. Genel öneri
- Sunucu günlüklerini olağandışı sorgu ve hata kayıtlarına karşı izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Esri ArcGIS Server | ≥ 11.1, < 12.1 | 12.1 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.