CVE-2025-27522 olarak izlenen yeni açıklanan bir güvenlik açığı, yaygın olarak kullanılan bir gerçek zamanlı veri akışı platformu olan Apache Inlong’da keşfedildi. Apache içsel güvenlik açığı, uzaktan kod yürütme potansiyelini (RCE) tanıtır.
Güvenlik açığı, Apache’nin 1.13.0 ila 2.1.0 ila 2.1.0 sürümlerini etkiler, bu da çok çeşitli dağıtımları potansiyel olarak savunmasız hale getirir. Resmi Apache Güvenlik Danışmanlığına göre, kusur, JDBC doğrulama işlemi sırasında güvenilmeyen verilerin sermayelendirilmesinden kaynaklanarak saldırganların serileştirilmiş Java nesnelerinin nasıl ele alındığını kullanmasına izin veriyor.
Apache’nin doğası içsel güvenlik açığı (CVE-2025-27522)
CVE-2025-27522 olarak adlandırılan bu güvenlik açığı, ciddiyet olarak orta olarak sınıflandırılır, ancak üretim ortamları üzerindeki potansiyel etkisi önemsiz olmaktan uzaktır. Daha önce açıklanmış bir güvenlik açığı olan CVE-2024-26579 için ikincil bir madencilik baypası olarak hizmet eder.
Bu özel güvenlik açığı, Inlong JDBC bileşeninde serileştirilmiş verilerin güvensiz işlenmesinden kaynaklanmaktadır. JDBC doğrulaması sırasında veriler alındığında, Apache Inlong, onları sazelleştirmeden önce içeriği yeterince sterilize edemez veya doğrulamaz. Kötü niyetli aktörler, bu boşluktan yararlanabilir, süzülürleştiğinde dosya manipülasyonu veya keyfi kod yürütme gibi yetkisiz davranışı tetikleyebilen özel hazırlanmış yükler gönderebilirler.
Resmi ifşa ve teknik içgörü
Güvenlik açığı, Yulate ve M4X olarak bilinen güvenlik araştırmacıları tarafından açıklandı ve 28 Mayıs Çarşamba günü Apache’nin geliştirici posta listesine Charles Zhang’ın bir mesajında resmi olarak yayınlandı. Apache’ye göre, etkilenen kullanıcılar hemen 2.2.0 sürümüne yükseltilmeli veya Github Pull Talep #11732’de yer alan düzeltmeyi uygulamalıdır.
CVE-2025-27522 için CVE girişi bulunabilir Resmi CVE veritabanında. Apache’nin GitHub deposu, sorunun ayrıntılı belgelerini ve yamada atılan iyileştirme adımlarını içerir. Katkıda bulunan Dockerzhang tarafından 9 Şubat’ta birleştirilen yama, JDBC işlem sırasında hassas parametre bypass’a hitap etti.
Güvenlik etkileri ve sömürü riski
Hiçbir kamu kavram kanıtı veya aktif sömürü raporları ortaya çıkmamış olsa da, güvenlik açığı ağdan kaçınılabilir olarak kabul edilir ve riski artıran kullanıcı etkileşimi gerektirmez. Bu kusura atanan ortak zayıflık numaralandırma (CWE) tanımlayıcısı CWE-502’dir: Güvenilmeyen verilerin sazizleşmesi-tarihsel olarak ciddi güvenlik ihlallerine yol açan iyi bilinen bir güvenlik açıkları sınıfı.
Apache’ye göre, CVE-2025-27522 için CVSS V3.1 baz skoru 5.3 ve 6.5 arasında değişiyor ve bu da orta ila yüksek şiddet seviyesini gösteriyor. Uzaktan kod yürütme potansiyeli göz önüne alındığında, ılımlı CVSS puanları bile ciddi dikkat gerektirir.
Önerilen azaltma adımları
Apache’nin yüksek güvenlik açığını azaltmak için:
- Derhal 2.2.0’da Apache’ye yükseltin.
- Alternatif olarak, Kiraz Toplu Yama #11732’yi Apache Github deposundan uygulayın.
- Serileştirilmiş veri kaynaklarını kısıtlayın ve saziplenebilecek tüm veriler üzerinde giriş doğrulaması ve dezenfekte etme uygulayın.
- Şüpheli seansizasyon davranışı veya yetkisiz aktivite belirtileri için sistemleri izleyin.
Java için örnek güvenli bir seansizasyon kodu snippet, özel uygulamalarda benzer riskleri azaltmaya yardımcı olabilir:
Çözüm
CVE-2025-27522, düzenleme güvenlik açıklarının kurumsal sistemleri nasıl hedefleyebileceğini vurgular. Apache Inlong’un büyük ölçekli veri alım ve dağıtımını yönetmedeki rolü göz önüne alındığında, özellikle uzaktan kod yürütülmesine yol açabilecek herhangi bir güvenlik kusuru hızlı ve belirleyici bir işlem gerektirir. Güvenlik ekipleri, yamayı uygulamaya veya Apache’ye 2.2.0’a yükseltmeye öncelik vermeli ve aynı zamanda uygulama yığınları boyunca genel searyalizasyon korumalarını güçlendirmelidir.
İlgili
Medya Feragatnamesi: Bu rapor, çeşitli yollarla elde edilen iç ve dış araştırmalara dayanmaktadır. Sağlanan bilgiler yalnızca referans amaçlıdır ve kullanıcılar buna güvenmeleri için tam sorumluluk taşırlar. Cyber Express, bu bilgileri kullanmanın doğruluğu veya sonuçları konusunda hiçbir sorumluluk kabul etmez.