Apache Jena, 5.4.0 aracılığıyla sürümleri etkileyen iki önemli güvenlik açıklığını açıkladı ve sürüm 5.5.0’a derhal yükseltme önerisi sağladı.
Hem CVE-2025-49656 hem de CVE-2025-50151, 21 Temmuz 2025’te açıklanan, sunucu dosya sistemi bütünlüğünü tehlikeye atmak için idari erişimden yararlanan önemli şiddet kusurlarını temsil ediyor.
Key Takeaways
1. Apache Jena through v5.4.0 has two vulnerabilities (CVE-2025-49656, CVE-2025-50151).
2. Exploit poor path validation in Fuseki admin interface, enabling file system bypass attacks.
3. Upgrade to v5.5.0 immediately to fix both issues.
Bu güvenlik açıkları, Fuseki Server’ın yönetici arayüzündeki kritik zayıflıkları vurgular, burada yetersiz giriş doğrulaması amaçlanan dizin sınırlarının ötesinde yetkisiz dosya sistemi işlemlerine izin verir.
CVE-2025-49656: Dizin geçişi
İlk güvenlik açığı olan CVE-2025-49656, yönetici kullanıcılarının Fuseki yönetici arayüzü aracılığıyla belirlenen sunucu dizin alanı dışında veritabanı dosyaları oluşturmalarını sağlar.
Bu dizin geçiş saldırısı vektörü, idari kullanıcı arayüzündeki yetersiz yol doğrulama mekanizmalarını kullanır ve meşru yönetici kimlik bilgileri olan saldırganların dosya sistemi kısıtlamalarını atlamasına izin verir.
Güvenlik açığı, veritabanı oluşturma işlemleri sırasında dosya yolu parametrelerinin yanlış dezenfeklenmesinden kaynaklanmaktadır.
Teknik analiz, kusurun, yönetici uç noktasına yönelik sonrası isteklerde kullanıcı tarafından sağlanan dizin yollarının yetersiz doğrulanmasını içerdiğini ortaya koymaktadır.
Saldırganlar potansiyel olarak, ana dizinleri geçmek için ../ gibi dizileri kullanarak kötü niyetli yol dizeleri oluşturabilir ve sunucu dosya sistemindeki keyfi konumlara etkili bir şekilde dosya yazabilirler.
Bu, hedef sistemin yapılandırmasına bağlı olarak yapılandırma dosyası manipülasyonu, günlük zehirlenmesi veya potansiyel uzaktan kod yürütülmesine yol açabilecek klasik bir yol geçirme güvenlik açığını temsil eder.
CVE-2025-50151: Yapılandırma Dosyası Yükleme
İkinci güvenlik açığı olan CVE-2025-50151, yönetim arayüzündeki yapılandırma dosyası yükleme işlevini etkiler.
Yüklenen yapılandırma dosyalarındaki dosya erişim yolları, rasgele dosya erişim saldırıları için fırsatlar oluşturarak uygun doğrulamadan yoksundur.
Bu güvenlik açığı, yöneticilerin amaçlanan güvenlik sınırlarını atlayan kötü amaçlı yol referansları içeren yapılandırma dosyalarını yüklemesine olanak tanır.
Teknik uygulama zayıflığı, yapılandırma ayrıştırıcısının dosya yolu yönergelerini ele almasında görünür. Yüklenen yapılandırma dosyalarını işlerken, sistem dosya erişim yollarını doğrulayamaz veya sterilize edemez ve potansiyel olarak göreceli yol manipülasyonu yoluyla hassas sistem dosyalarına referanslara izin verir.
Bu, saldırganların yapılandırma dosyalarına, sistem ikili dosyalarına veya hedeflenen uygulama dizin yapısının dışında bulunan hassas verilere referans vermesini sağlayabilir.
Keşif kredisi, güvenlik araştırması işbirliğinin önemini vurgulayarak Cyber Savunma Enstitüsü, Noriaki Iwasaki’ye gidiyor.
| CVE | Başlık | CVSS 3.1 puanı | Şiddet |
| CVE-2025-49656 | Yönetici kullanıcıları, yönetici kullanıcı arayüzü aracılığıyla sunucu dizin alanı dışında dosyalar oluşturabilir | 7.5 | Önemli |
| CVE-2025-50151 | Yönetici kullanıcılar tarafından yüklenen yapılandırma dosyaları düzgün kontrol edilmez | 8.8 | Önemli |
Hafifletme
Apache Jena dağıtımlarını çalıştıran kuruluşlar, her iki güvenlik açığı için kapsamlı düzeltmeler uygulayan 5.5.0 sürümüne hemen yükseltilmelidir.
Güncellenmiş sürüm, gelişmiş yol doğrulama mekanizmalarını sunar ve sömürü önlemek için keyfi yapılandırma yüklemelerini kısıtlar.
Her iki güvenlik açıkının da idari erişim gerektirdiği göz önüne alındığında, acil risk yönetici kimlik bilgilerinin tehlikeye atılabileceği veya içeriden gelen tehditlerin bulunduğu ortamlarla sınırlıdır.
Sistem yöneticileri, olağandışı dosya oluşturma modelleri için erişim günlüklerini gözden geçirmeli ve yalnızca güvenilir personelin fuseki sunucularına idari erişime sahip olduğunu doğrulamalıdır.
Ayrıca, dosya sistemi düzeyinde erişim kontrolleri gibi derinlemesine savunma stratejilerinin uygulanması, benzer güvenlik açıklarına karşı ek koruma katmanları sağlayabilir.
Tespiti artırın, uyarı yorgunluğunu azaltın, yanıtı hızlandırın; Güvenlik ekipleri için inşa edilmiş etkileşimli bir sanal alan ile hepsi -> Herhangi birini deneyin. Şimdi