IBM, webMethods Entegrasyon Sunucusunda çok sayıda kritik güvenlik açığı olduğunu açıkladı; bu açıklar, saldırganların etkilenen sistemlerde keyfi komutlar yürütmesine olanak tanıyor.
Yazılımın 10.15 versiyonunda tespit edilen bu açıklar, bu platformu entegrasyon ve API yönetimi için kullanan kuruluşlar için ciddi bir risk oluşturmaktadır.
Bu güvenlik açıklarının en ciddisi olan CVE-2024-45076’ya kritik niteliğini gösteren 9,9’luk bir CVSS taban puanı atanmıştır. Bu güvenlik açığı, kimliği doğrulanmış bir kullanıcının altta yatan işletim sistemine keyfi dosyalar yüklemesine ve yürütmesine olanak tanır.
Bir saldırıyı gerçekleştirmek için gereken düşük karmaşıklık ve kullanıcı etkileşiminin eksikliği göz önüne alındığında, istismar potansiyeli yüksektir. Gizlilik, bütünlük ve kullanılabilirlik üzerindeki etki yüksek olarak derecelendirilir ve bu da kuruluşların bu sorunu acilen ele almasını zorunlu hale getirir.
Uyumluluğun Kodunu Çözme: CISO’ların Bilmesi Gerekenler – Ücretsiz Web Seminerine Katılın
CVSS taban puanı 8,8 olan bir diğer önemli güvenlik açığı olan CVE-2024-45075, ayrıcalık yükseltmesini içerir. Kimliği doğrulanmış bir kullanıcı, eksik kimlik doğrulama kontrolleri nedeniyle ayrıcalıklarını yönetici düzeyine yükselten zamanlayıcı görevleri oluşturmak için bu açığı kullanabilir.
Bu durum sisteme yetkisiz erişim ve kontrol sağlanmasına yol açabilir ve bu platformla ilişkili güvenlik risklerini daha da kötüleştirebilir.
Üçüncü güvenlik açığı olan CVE-2024-45074, dizin gezinme saldırılarına izin vererek saldırganın, “nokta nokta” dizileri içeren özel olarak hazırlanmış URL istekleri göndererek sistemdeki keyfi dosyaları görüntülemesine olanak tanıyor.
Bu güvenlik açığının CVSS taban puanı 6,5 olup, diğerlerinden daha az ciddi olsa da hassas bilgilerin ifşa edilmesine yol açma potansiyeli nedeniyle önemli bir tehdit oluşturmaktadır.
IBM, webMethods Integration Server’ın etkilenen sürümünün tüm kullanıcılarına gerekli yamaları derhal uygulamalarını şiddetle tavsiye etmektedir.
Şirket, bu güvenlik açıklarını azaltmak için Update Manager kullanılarak yüklenebilen Entegrasyon Sunucusu için Corefix 14’ü yayınladı. Hiçbir geçici çözüm veya azaltma mevcut olmadığından, bu düzeltmelerin uygulanması sistem güvenliğinin sürdürülmesi için hayati önem taşıyor.
Bu güvenlik açıkları, siber saldırganların kurumsal ortamlardaki kritik rolleri nedeniyle giderek daha fazla hedef aldığı karmaşık entegrasyon platformlarının güvenliğini sağlamada yaşanan devam eden zorlukları vurgulamaktadır.
Kuruluşların güvenlik durumlarını gözden geçirmeleri ve bu güvenlik açıklarının potansiyel istismarına karşı koruma sağlamak için tüm sistemlerinin güncellendiğinden emin olmaları önemle rica olunur.
Güvenlik Ekibiniz için Ücretsiz Olay Müdahale Planı Şablonunu İndirin – Ücretsiz İndirin