Temmuz oldu Microsoft ve Google ürünlerinde zaten kullanılan güvenlik açıkları için yamalar da dahil olmak üzere bir aylık önemli güncellemeler. Bu ay ayrıca sekiz hafta içinde ilk Apple iOS güncellemesini gördü ve iPhone ve iPad’lerdeki düzinelerce güvenlik açığını düzeltti.
SAP, Cisco ve Oracle yazılımları için Temmuz yamalarıyla birlikte güvenlik açıkları kurumsal ürünleri de vurmaya devam ediyor. Temmuz ayında giderilen güvenlik açıkları hakkında bilmeniz gerekenler burada.
Apple iOS 15.6
Apple, CVE-2022-32832 olarak izlenen Apple Dosya Sistemi’ndeki (APFS) bir sorun da dahil olmak üzere 37 güvenlik açığını düzeltmek için iOS ve iPadOS 15.6’yı piyasaya sürdü. Güvenlik açığından yararlanılırsa, Apple’ın destek sayfasına göre, bir uygulamanın çekirdek ayrıcalıklarıyla kod yürütmesine izin vererek cihazınıza derin erişim sağlayabilir.
Diğer iOS 15.6 yamaları, çekirdek ve WebKit tarayıcı motorundaki güvenlik açıklarının yanı sıra IOMobileFrameBuffer, Ses, iCloud Fotoğraf Kitaplığı, ImageIO, Apple Neural Engine ve GPU Sürücülerindeki kusurları giderir.
Apple, saldırılarda kullanılan yamalı kusurların hiçbirinin farkında değil, ancak bazı güvenlik açıkları oldukça ciddi, özellikle de işletim sisteminin kalbindeki çekirdeği etkileyenler. Saldırılarda güvenlik açıklarının birbirine zincirlenmesi de mümkündür, bu nedenle mümkün olan en kısa sürede güncelleme yaptığınızdan emin olun.
iOS 15.6 yamaları watchOS 8.7, tvOS 15.6, macOS Monterey 12.5, macOS Big Sur 11.6.8 ve macOS Catalina 10.15.7 2022-005 ile birlikte yayınlandı.
Google Chrome
Google, Temmuz ayında Chrome tarayıcısı için bir acil durum düzeltme eki yayınladı ve halihazırda istismar edilmiş olan sıfır gün kusuru da dahil olmak üzere dört sorunu düzeltti. CVE-2022-2294 olarak izlenen ve Avast Threat Intelligence araştırmacıları tarafından bildirilen WebRTC’deki bellek bozulması güvenlik açığı, Chrome’un oluşturucu sürecinde kabuk kodu yürütmesini sağlamak için kötüye kullanıldı.
Hata, DevilsTongue adlı casus yazılımları dağıtmak için Lübnan’daki gazeteciler de dahil olmak üzere Orta Doğu’daki Avast kullanıcılarına yönelik hedefli saldırılarda kullanıldı.
Saldırıyı gerçekleştirmek için kullanılan kötü amaçlı yazılımlara ve taktiklere dayanarak Avast, Chrome sıfır günlük kullanımını hükümetlere casus yazılım satan İsrail merkezli Candiru şirketine bağlıyor.
Microsoft’un Salı Yaması
Microsoft’un Temmuz Salı Yaması, gerçek dünya saldırılarında halihazırda kullanılan bir kusur da dahil olmak üzere 84 güvenlik sorununu gideren büyük bir güncellemedir. Güvenlik açığı, CVE-2022-22047, en son Windows 11 ve Windows Server 2022 sürümleri de dahil olmak üzere Windows İstemci/Sunucu Çalışma Zamanı Alt Sistemi (CSRSS) sunucusu ve istemci Windows platformlarında yerel bir ayrıcalık yükseltme kusurudur. Microsoft’a göre, güvenlik açığından başarıyla yararlanabilen bir saldırgan Sistem ayrıcalıkları kazanabilir.
Microsoft’un Temmuz Salı Yaması’nda yamalanan 84 sorunun 52’si ayrıcalık yükseltme kusurları, dördü güvenlik özelliği atlama açıkları ve 12’si uzaktan kod yürütme sorunlarıydı.
Microsoft güvenlik yamaları bazen başka sorunlara neden olur ve Temmuz güncellemesi de farklı değildi: Yayının ardından bazı kullanıcılar MS Access çalışma zamanı uygulamalarının açılmadığını tespit etti. Neyse ki, firma bir düzeltme yayınlıyor.
Android Temmuz Güvenlik Bülteni
Google, Sistem bileşeninde ek ayrıcalık gerekmeden uzaktan kod yürütülmesine yol açabilecek kritik bir güvenlik açığı için bir düzeltme de dahil olmak üzere Android işletim sistemi için Temmuz güncellemelerini yayınladı.
Google ayrıca, bilgi ifşasıyla sonuçlanabilecek çekirdekteki ve yerel ayrıcalık yükselmesine yol açabilecek çerçevedeki ciddi sorunları da düzeltti. Bu arada, cihazınız bu yongaları kullanıyorsa MediaTek, Qualcomm ve Unisoc’tan satıcıya özel yamalar mevcuttur. Samsung cihazları Temmuz yamasını almaya başlıyor ve Google ayrıca Pixel serisi için güncellemeler yayınladı.
SAP
Yazılım üreticisi SAP, Temmuz Güvenlik Yaması Günü kapsamında 27 yeni ve güncellenmiş güvenlik notu yayınlayarak çok sayıda yüksek önemdeki güvenlik açığını giderdi. CVE-2022-35228 olarak izlenen en ciddi sorun, satıcının Business Objects platformunun merkezi yönetim konsolundaki bir bilgi ifşa hatasıdır.
Güvenlik firması Onapsis’e göre güvenlik açığı, kimliği doğrulanmamış bir saldırganın ağ üzerinden token bilgisi elde etmesine izin veriyor. Firma, “Neyse ki, böyle bir saldırı meşru bir kullanıcının uygulamaya erişmesini gerektirir” diye ekliyor. Ancak, mümkün olan en kısa sürede yama yapmak hala önemlidir.
kehanet
Oracle, Temmuz 2022 Kritik Yama Güncellemesinde, uzaktan kullanılabilecek 230 kusur için düzeltmeler de dahil olmak üzere 349 yama yayınladı.
Oracle’ın Nisan Yama Güncellemesi, bazıları bahar çerçevesindeki bir uzaktan kod yürütme kusuru olan Spring4Shell olan CVE-2022-22965’i ele alan 520 güvenlik düzeltmesi içeriyordu. Oracle’ın Temmuz güncellemesi bu sorunu gidermeye devam ediyor.