Progress WhatsUp Gold ekibi, yazılımlarının 2024.0.0’dan önce yayınlanan tüm sürümlerinde kritik güvenlik açıklarının varlığını doğruladı.
Bu açıkların istismar edilmesi durumunda saldırganların SQL komutları enjekte etmesine olanak tanıyarak kullanıcılar için önemli güvenlik riskleri oluşturabilir.
Bu güvenlik açıklarının gerçek hayatta istismar edildiğine dair bir rapor olmasa da şirket tüm müşterilerini derhal en son sürüme yükseltmeye çağırıyor.
CVE-2024-6670 (WUG-16138) – CVSS Puanı: 9,8
En ciddi güvenlik açıklarından biri olan CVE-2024-6670, 2024.0.0’dan önce yayınlanan WhatsUp Gold sürümlerini etkiliyor.
Bu SQL Injection açığı, uygulama yalnızca bir kullanıcı ile yapılandırılmışsa istismar edilebilir.
Kimliği doğrulanmamış bir saldırgan, kullanıcının şifrelenmiş parolasını ele geçirerek yetkisiz erişime yol açabilir.
Güvenlik açığı, Trend Micro Zero Day Initiative ile iş birliği yapan Summoning Team (@SummoningTeam) üyesi Sina Kheirkhah (@SinSinology) tarafından keşfedildi. 9,8’lik yüksek CVSS puanı, kritik doğasını yansıtıyor.
Are You From SOC/DFIR Teams? - Try Advanced Malware and Phishing Analysis With ANY.RUN -14-day free trial
CVE-2024-6671 (WUG-16139) – CVSS Puanı: 9,8
CVE-2024-6670’e benzer şekilde CVE-2024-6671 de 2024.0.0 öncesi WhatsUp Gold sürümlerinde bulunan bir SQL Injection güvenlik açığını içeriyor.
Bu açık, uygulama tek bir kullanıcıyla yapılandırıldığında kimliği doğrulanmamış bir saldırganın kullanıcının şifrelenmiş parolasını ele geçirmesine olanak tanıyor.
Bu güvenlik açığının sorumluluğu yine Sina Kheirkhah ve Summoning Team’e ait oldu ve bu durum potansiyel riskleri belirlemek ve azaltmak için güvenlik araştırmacılarıyla devam eden iş birliğinin önemini vurguladı.
CVE-2024-6672 (WUG-16142) – CVSS Puanı: 8,8
CVE-2024-6672 biraz farklı bir tehdit sunar. Bu durumda, kimliği doğrulanmış düşük ayrıcalıklı bir saldırgan, ayrıcalıklı bir kullanıcının parolasını değiştirerek ayrıcalık yükseltmesi elde etmek için bir SQL Enjeksiyonu güvenlik açığından yararlanabilir.
Önceki ikisine göre biraz daha az kritik olsa da bu güvenlik açığı yine de sistem bütünlüğü ve güvenliği açısından önemli bir risk oluşturuyor.
Bu güvenlik açığının keşfi de Sina Kheirkhah ve Summoning Team’in çabaları sonucunda gerçekleşmiş olup, yazılım güvenliğinin sağlanmasında dış güvenlik araştırmalarının önemi vurgulanmıştır.
Acil Eylem Çağrısı
Progress, 2024.0.0’dan eski sürümleri çalıştıran tüm WhatsUp Gold müşterilerini sistemlerini derhal yükseltmeye şiddetle teşvik ediyor.
Yükseltme süreci oldukça basittir, genellikle 30 dakika veya daha az sürer ve aktif bir hizmet sözleşmesi olan müşteriler için ücretsizdir.
Progress, Müşteri Desteği ve Profesyonel Hizmetler ekipleri aracılığıyla destek sunar. Aktif bir hizmet sözleşmesi veya aboneliği olan müşteriler Progress Teknik Destek ile iletişime geçebilir.
Aktif bir sözleşmesi olmayanların lisanslarını iade etmek için Progress Sales ile iletişime geçmeleri önerilir.
Progress, en çok WhatsUp Gold kullanıcılarının güvenliğiyle ilgilenmektedir. Şirket, bu güvenlik açıklarını gidermek için hızlı bir şekilde harekete geçmiştir ve olası riskleri azaltmak için müşterileri proaktif bir şekilde bilgilendirmektedir.
Kullanıcılar, en son sürüme yükseltme yaparak sistemlerinin bu tespit edilen tehditlere karşı güvenli kalmasını sağlayabilirler.
Protect Your Business with Cynet Managed All-in-One Cybersecurity Platform – Try Free Trial