HCL Software’in DevOps Dağıtım ve Başlatma platformlarında yakın zamanda açıklanan bir güvenlik açığı, güvenlik endişelerini artırdı.
CVE-2024-42195 olarak tanımlanan bu güvenlik açığı, saldırganların web kullanıcı arayüzüne (UI) rastgele HTML etiketleri yerleştirmesine olanak tanır ve bu da potansiyel olarak hassas bilgilerin açığa çıkmasına yol açar.
HTML enjeksiyon güvenlik açığı olarak kategorize edilen kusur, HCL Launch (7.0’dan 7.3’e) ve HCL DevOps Deploy’un (8.0) birden fazla sürümünü etkiliyor.
Sorun, kötü niyetli aktörlerin web kullanıcı arayüzüne HTML kodu yerleştirmesine olanak tanıyan kullanıcı girişlerinin yetersiz şekilde sterilize edilmesinden kaynaklanıyor. Bu, platformda görüntülenen hassas verilere yetkisiz erişime neden olabilir.
Ortak Güvenlik Açığı Puanlama Sistemi (CVSS), bu sorunu düşük önem derecesine sahip bir riske işaret eden 3,1 temel puanla derecelendirir.
Ancak HCL analistleri, hassas verilerin açığa çıkma potansiyelinin, bu araçlara güvenen kuruluşların güvenlik açığını derhal gidermesini kritik hale getirdiğini gözlemledi.
API güvenlik açığı ve Sızma Testi için En İyi Uygulamalar Konulu Ücretsiz Web Semineri: Ücretsiz Kayıt
Etkilenen Ürünler ve Sürümler
Aşağıdaki sürümlerin etkilendiği doğrulandı: –
HCL Lansmanı
- Sürüm 7.0 ila 7.0.5.24
- Sürüm 7.1 ila 7.1.2.20
- Sürüm 7.2 ila 7.2.3.13
- Sürüm 7.3 ila 7.3.2.8
HCL DevOps Dağıtımı
HCL Software, bu güvenlik açığını azaltmak için güncellemeler yayımladı ve kullanıcılara aşağıdaki sabit sürümlere yükseltme yapmalarını şiddetle tavsiye ediyor:-
- HCL Lansmanı: Sürüm 7.0.5.25, 7.1.2.21, 7.2.3.14 veya 7.3.2.9
- HCL DevOps Dağıtımı: Sürüm 8.0.1.4 veya en son sürüm olan sürüm 8.1.0
Şu anda bu güvenlik açığı için önerilen güncellemelerin uygulanması dışında herhangi bir geçici çözüm veya azaltıcı çözüm belirlenmemiştir.
CVSS puanı düşük önem derecesine sahip bir riske işaret etse de kuruluşlar, özellikle hassas operasyonel verileri veya kullanıcı kimlik bilgilerini işleyen ortamlarda HTML yerleştirme güvenlik açıklarının potansiyel etkisini hafife almamalıdır.
Güvenlik ekiplerinin, etkilenen sistemlere yama uygulamasına öncelik vermeleri ve maruz kalmayı en aza indirmek için HCL DevOps Dağıtım ve Başlatma platformlarındaki erişim kontrollerini gözden geçirmeleri tavsiye edilir.
Bu olay, kurumsal sistemlerin ortaya çıkan tehditlere karşı korunmasında düzenli yazılım güncellemelerinin ve proaktif güvenlik açığı yönetiminin öneminin altını çiziyor.
Analyse Real-World Malware & Phishing Attacks With ANY.RUN - Get up to 3 Free Licenses