Apache Jackrabbit, sistemleri keyfi kod yürütme saldırılarına maruz bırakır

Kurumsal içerik yönetim sistemlerinde ve web uygulamalarında kullanılan popüler bir açık kaynaklı içerik deposu olan Apache Jackrabbit’te önemli bir güvenlik açığı keşfedilmiştir.

Bu kusur, yetkili olmayan saldırganların savunmasız sürümleri çalıştıran sunucularda keyfi kod yürütme (RCE) elde etmesine izin verebilir ve sistem güvenliği ve veri gizliliği için kritik bir risk sunabilir.

JCR-5135 olarak izlenen güvenlik açığı, “güvenilmeyen verilerin sazizleşmesi” sorunu olarak sınıflandırılmıştır. Bazı Apache Jackrabbit bileşenlerinin Java Adlandırma ve Dizin Arayüzü (JNDI) aramalarıyla nasıl işlediğinde bulunur.

Özellikle, bir dağıtım, güvenilmeyen veya kamuya açık kaynaklardan Java İçerik Deposu (JCR) aramaları için JNDI URI’leri kabul edecek şekilde yapılandırılmışsa, bir saldırgan bu yoldan yararlanabilir.

Bir saldırgan özel olarak hazırlanmış, kötü niyetli bir JNDI referansı göndererek uygulamayı işlemek için kandırabilir.

Bu eylem, saldırgan kontrolündeki bir kaynaktan güvenilmeyen verilerin çelişkisini tetikler, bu da uygulamanın ayrıcalıklarıyla temel sunucuda keyfi komutların yürütülmesine neden olabilir.

Başarılı bir istismar, bir saldırganın kötü amaçlı yazılım yüklemesine, hassas verileri çalmasına veya etkilenen sistemin tam kontrolünü ele geçirmesine izin verebilir. Güvenlik araştırmacısı James John sorunu bildirdi.

Etkilenen sürümler

Güvenlik açığı yaygındır ve projenin temel bileşenlerinden ikisi için yirmi yılı aşkın süren sürümleri etkilemektedir. Aşağıdaki sürümleri çalıştıran tüm kullanıcılar risk altında kabul edilir ve sistemlerini derhal gözden geçirmelidir.

• Apache Jackrabbit Core (org.apache.Jackrabbit: Jackrabbit-Core): Sürüm 1.0.0 ila 2.22.1
• Apache Jackrabbit JCR Commons (org.apache.jackrabbit: jackrabbit-jcr-commons): sürüm 1.0.0 ila 2.22.1

Azaltma ve öneriler

Bu önemli güvenlik riskini ele almak için Apache Jackrabbit proje ekibi bir yama yayınladı. Yöneticiler, etkilenen tüm dağıtımları 2.22.2 sürümüne veya üstüne yükseltmeleri şiddetle tavsiye edilir.

Yeni sürümdeki birincil güvenlik düzeltmesi, çoğu kullanıcı için saldırı vektörünü kapatan JNDI aracılığıyla JCR aramalarının varsayılan olarak devre dışı bırakılmasıdır.

Operasyonları için bu özel işlevselliği gerektirenler için, artık bir sistem özelliği aracılığıyla açıkça etkinleştirilmelidir.

Geliştiriciler, bu özelliği yeniden etkinleştiren herkesin kullanımının dikkatli bir güvenlik incelemesini gerçekleştirmesi gerektiğini önererek, önemli olmayan, kullanıcı tarafından sağlanan verilerin işlenen JNDI URI’sini etkilememesini sağlar.

Güncellemeyi uygulamak, tehdidi azaltmanın en etkili yoludur.

Bu hikayeyi ilginç bul! Daha fazla anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin.