Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), Ulusal Güvenlik Ajansı (NSA) ve Federal Soruşturma Bürosu (FBI), 2023’te en sık kullanılan 15 güvenlik açığının ayrıntılarını içeren kritik bir siber güvenlik tavsiye belgesini ortaklaşa yayınladı.
Avustralya, Kanada, Yeni Zelanda ve Birleşik Krallık’tan siber güvenlik kurumlarının da dahil olduğu bu ortak çalışma, kuruluşları en acil siber tehditlere karşı uyarmayı ve bu risklerin azaltılması konusunda rehberlik sağlamayı amaçlıyor.
Tavsiye niteliğindeki rapor endişe verici bir eğilimi ortaya koyuyor: Kötü niyetli aktörler, bir önceki yıla kıyasla 2023’te kurumsal ağları tehlikeye atmak için daha fazla sıfır gün güvenlik açığından yararlandı. Bu değişim, siber suçluların yüksek öncelikli hedeflere karşı daha etkili operasyonlar yürütmesine olanak tanıdı.
Listenin başında Citrix NetScaler ADC ve NetScaler Gateway’i etkileyen bir güvenlik açığı olan CVE-2023-3519 yer alıyor. Bu kusur, kimliği doğrulanmamış kullanıcıların yığın arabellek taşmasına neden olmasına ve potansiyel olarak uzaktan kod yürütülmesine neden olmasına olanak tanır.
Attend a Free Webinar on How to Maximize Cybersecurity Program ROI
Diğer kritik güvenlik açıkları arasında CVE-2023-4966 (Citrix ürünlerini de etkiliyor), CVE-2023-20198 ve CVE-2023-20273 (her ikisi de Cisco IOS XE’yi etkiliyor) ve CVE-2023-27997 (Fortinet FortiOS ve FortiProxy SSL-VPN’i etkiliyor) yer alıyor ).
Listede ayrıca, Aralık 2021’de açıklanmasına rağmen istismar edilmeye devam eden kötü şöhretli Log4Shell güvenlik açığı (CVE-2021-44228) de yer alıyor. Bu, belirli güvenlik açıklarının kalıcılığının ve zamanında yama uygulanmasının öneminin altını çiziyor.
Burada, danışma belgesinde sağlanan bilgilere dayanarak 2023’te en sık kullanılan 15 kritik güvenlik açığını özetleyen bir tablo yer almaktadır:
| CVE | Satıcı | Ürünler) | Güvenlik Açığı Türü |
|---|---|---|---|
| CVE-2023-3519 | Citrix | NetScaler ADC, NetScaler Ağ Geçidi | Kod Ekleme |
| CVE-2023-4966 | Citrix | NetScaler ADC, NetScaler Ağ Geçidi | Arabellek Taşması |
| CVE-2023-20198 | Cisco | IOS | Ayrıcalık Yükseltmesi |
| CVE-2023-20273 | Cisco | iOS IS | Web Kullanıcı Arayüzü Komut Ekleme |
| CVE-2023-27997 | Fortinet | FortiOS, FortiProxy SSL-VPN | Yığın Tabanlı Arabellek Taşması |
| CVE-2023-34362 | İlerlemek | MOVEit Aktarımı | SQL Enjeksiyonu |
| CVE-2023-22515 | Atlassian | Confluence Veri Merkezi ve Sunucu | Bozuk Erişim Kontrolü |
| CVE-2021-44228 (Log4Shell) | Apaçi | Log4j2 | Uzaktan Kod Yürütme (RCE) |
| CVE-2023-2868 | Barracuda Ağları | ESG Cihazı | Uygunsuz Giriş Doğrulaması |
| CVE-2022-47966 | Zoho | ManageEngine Birden Fazla Ürün | Uzaktan Kod Yürütme |
| CVE-2023-27350 | Kağıt Kesimi | MF/NG | Uygunsuz Erişim Kontrolü |
| CVE-2020-1472 | Microsoft | Netlogon | Ayrıcalık Yükseltmesi |
| CVE-2023-42793 | JetBrains | Takım Şehri | Kimlik Doğrulama Baypası |
| CVE-2023-23397 | Microsoft | Ofis Görünümü | Ayrıcalık Yükseltmesi |
| CVE-2023-49103 | ownCloud | grafik | Bilgi Açıklaması |
Ajanslar, satıcıları, geliştiricileri ve son kullanıcı kuruluşlarını bir dizi hafifletici önlem uygulamaya şiddetle teşvik ediyor. Yazılım yaratıcıları için öneriler arasında tasarım gereği güvenlik ilkelerinin benimsenmesi, sağlam test ortamlarının uygulanması ve koordineli güvenlik açığı açıklama programlarının oluşturulması yer alıyor.
Son kullanıcı kuruluşlarına yamaları zamanında uygulamaları, merkezi yama yönetimi sistemleri uygulamaları ve uç nokta algılama ve yanıt (EDR) çözümleri gibi gelişmiş güvenlik araçlarını kullanmaları tavsiye edilir.
CISA Direktörü Jen Easterly, bu danışma belgesinin kritik niteliğini vurgulayarak şunları söyledi: “Bu ortak çaba, siber tehditlerin küresel doğasını ve siber güvenlikte uluslararası işbirliği ihtiyacını vurgulamaktadır. Tüm kuruluşları bu danışma belgesini incelemeye ve sistemlerini güvence altına almak için derhal harekete geçmeye çağırıyoruz.”
Öneri belgesi ayrıca etkilenen ürünler, güvenlik açığı türleri ve ilgili Ortak Zayıflık Sayımları (CWE’ler) dahil olmak üzere her bir güvenlik açığı hakkında ayrıntılı teknik bilgiler sağlar.
Bu kapsamlı yaklaşım, siber güvenlik profesyonellerini savunma stratejilerini etkili bir şekilde önceliklendirmek için gereken bilgilerle donatmayı amaçlamaktadır.
Siber tehditler gelişmeye devam ederken, bu işbirliğine dayalı danışmanlık, dünya çapındaki kuruluşlar için çok önemli bir kaynak olarak hizmet vermektedir. İşletmeler ve devlet kurumları, en çok yararlanılan bu güvenlik açıklarına odaklanarak siber güvenlik kaynaklarını daha iyi tahsis edebilir ve 2023’ün en acil dijital tehditlerine karşı genel güvenlik duruşlarını güçlendirebilir.
Run private, Real-time Malware Analysis in both Windows & Linux VMs. Get a 14-day free trial with ANY.RUN!