Tag Archive : vulnerability

Adobe After Effects

Adobe bugün, After Effects ve Media Encoder uygulamaları için iki yeni güvenlik açığı için yazılım güncellemelerini yayınladı.
Her iki kritik güvenlik açığı, bellek dışına yazma sorunları nedeniyle ortaya çıkan ve kurbanları etkilenen yazılımı kullanarak özel hazırlanmış bir dosyayı açmaya yönlendirerek hedeflenen sistemlerde rasgele kod yürütmek için kullanılabilir.

Kaynak: https://thehackernews.com/2020/02/adobe-software-updates.html

Wordpress Vulnerability

WordPress için ThemeGrill Demo Importer’ın geliştiricileri, kimliği doğrulanmamış kullanıcılara yönetici ayrıcalıkları veren kritik bir hatayı kaldırmak için eklentiyi güncelledi.

Ayrıca saldırganların yönetici girişi sırasında siteye ait tüm veri tabanı varsayılan durumuna dönmekte.

Bu eklentinin aktif olarak kullanılan versiyonlarının çoğu zafiyeti barındırmakta. ThemeGrill temalarının demo içeriğini, widget’larını ve ayarlarını kolayca içe aktarmak için kullanılan bileşen, 200.000’den fazla WordPress sitesinde bulunmaktadır.

Kali Linux

Apple araştırmacısı, ‘sudo’ yardımcı programında normal kullanıcıların Linux ve macOS komutları root olarak çalıştırmasına izin veren önemli bir güvenlik açığı (CVE-2019-18634) keşfetti.
Apple’dan güvenlik uzmanı Joe Vennix, CVE-2019-18634 olarak numaralandırılan ve ayrıcalıklı olmayan Linux ve macOS kullanıcılarının komutları Kök olarak çalıştırmasına izin veren önemli bir güvenlik açığı keşfetti.

Bu sorun yalnızca belirli bir yapılandırma altında kullanılabildiği belirtiliyor.

Kaynak: https://securityaffairs.co/wordpress/97265/breaking-news/sudo-cve-2019-18634-flaw.html

Kali Linux
Cisco Cihazlarda Kritik "CDPwn" Zafiyeti

Cisco, uzaktan kod yürütülmesine ve hizmet reddine yol açabilecek beş güvenlik açığını gidermek için güncelleme yayımladı.

Cisco, bir ağdaki tüm Cisco ekipmanlarını eşleyen bilgi paylaşım katmanı olan Cisco Discovery Protocol’de (CDP) bulunan beş kritik güvenlik açığı için yamalar yayınlamaktadır.

Armis’teki araştırmacılar, Çarşamba günü açıkladıkları ve toplu olarak CDPwn olarak adlandırdıkları güvenlik açıklarının, ağda mevcut bir dayanağı olan saldırganların ağ segmentasyonunu aşmasına ve milyonlarca cihazı uzaktan ele geçirmesine izin verebileceğini söylüyor.

Kaynak: https://threatpost.com/critical-cisco-cdpwn-flaws-network-segmentation/152546/

WhatsApp Masaüstü Uygulamasında Kritik XSS Zafiyeti

WhatsApp Masaüstü’nün, bilgisayar korsanlarının size özel hazırlanmış bir kısa mesaj göndererek yerel dosyalarınıza erişmesini sağlayan bir güvenlik açığı tespit edildi.

Facebook zafiyetli ilgili şu duyuruyu (CVE-2019-18426) yayınladı:

Açıklama: iPhone için WhatsApp ile eşleştirildiğinde WhatsApp Masaüstündeki bir güvenlik açığı, siteler arası komut dosyası oluşturmaya ve yerel dosya okumaya izin verdiği tespit edildi. Güvenlik açığından yararlanmak için, hedefin özel hazırlanmış bir metin mesajından bir bağlantı önizlemesini tıklaması gerekir.

Etkilenen Sürümler: v0.3.9309’dan önceki WhatsApp Desktop, 2.20.10’dan önceki iPhone sürümleri için WhatsApp ile eşleştirildi

Kaynak: https://mspoweruser.com/whatsapp-desktop-has-a-cross-site-scripting-vulnerability-which-allows-local-files-to-be-read/

Yanlış okumadınız geçtiğimiz günlerde Citrix ürünlerde ortaya çıkan kritik zafiyetle birlikte bir çok Citrix sunucusu saldırıya maruz kalmıştı. Citrix sunuculara saldıran saldırganlar erişim elde ettikten sonra bu sunuculara arka kapı yerleştirmekte ve sunucuları güvenli hale getirmekte. Güvenli hale getirmelerinin sebebi ise diğer saldırganların sunucuyu ele geçirmesini engellemek.

Kaynak: https://www.bleepingcomputer.com/news/security/hackers-are-securing-citrix-servers-backdoor-them-for-access/

Oracle

Oracle dünyanın en büyük ikinci yazılım firması ve buda ürün sayısının ve bu ürünlerdeki zafiyetlerin sayının fazla olmasına sebebiyet veriyor. Oracle’ın 2020 için yayınladığı ilk güncellemede rekor bir sayı ile 334 adet zafiyeti kapattı. Kategoriler şu şekilde

  • Database Server ürünlerinde 12 zafiyet
  • İletişim Uygulamalarında 23 zafiyet ve bunlardan 6 tanesi kritik seviyeli
  • Oracle Enterprise Manager ürünlerinde 50 adet zafiyet
  • Oracle Fusion Middle ürünlerinde 30 adet zafiyet.
  • Oracle Virtualization ürünlerinde 22 adet zafiyet.

Kaynak: https://nakedsecurity.sophos.com/2020/01/17/oracles-january-2020-update-patches-334-security-flaws/

InfiniteWP client ve WP Time Casule pluginlerinde birbirne benzer kimlik doğrulama atlama zafiyeti tespit edildi. Bu zafiyet kritik olduğu ve saldırganların herhangi bir kimlik doğrulama olmaksızın sadece kullanıcı adı ile WordPress kurulumuna erişebildiği tespit edildi.

Kaynak: https://threatpost.com/wordpress-bug-leaves-sites-open-to-attack/151911/

Geçtiğimiz günlerde 2020’nin ilk Salı Güncellemesi Microsoft tarafından yayımlandı. Tespit edilen 49 adet yeni zafiyet için yayınlanan bu güncellemelerde NSA tarafından tespit edilen ve kritik olduğu düşünülen “Windows CryptoAPI Spoofing” zaafiyetide mevcut.

Kaynak: https://thehackernews.com/2020/01/warning-quickly-patch-new-critical.html