Cyble Security Update Advisory kısa bir süre önce çeşitli üreticilerin en son güvenlik açıklarına ve yamalarına odaklanan bir rapor yayınladı.
Rapor, popüler JavaScript kitaplığı vm2’deki birkaç kritik güvenlik açığını vurguladı. Bu kitaplık, Node.js ortamlarında güvenilmeyen kod yürütmeyi koruma altına almak için yaygın olarak kullanılır.
Bu güvenlik açıkları, saldırganların, temizlenmemiş bir ana bilgisayar istisnasına neden olarak, sonunda ana bilgisayar bağlamında rasgele kod yürütülmesine ve korumalı alandan çıkmasına olanak tanır.
JavaScript Kitaplığı vm2 güvenlik açıkları
Rapor, Ortak Güvenlik Açığı Puanlama Sistemi (CVSS) tarafından tanımlanan önem standartlarına göre bu güvenlik açıklarını Yüksek, Orta ve Düşük olarak sınıflandırmıştır.
TLP derecesi AMBER olan vm2 kitaplığında iki kritik güvenlik açığını gösterir.
Bu güvenlik açıkları için CVE kimlikleri CVE-2023-29199 ve CVE-2023-30547’dir.
Rapor, Uzaktan Kod Yürütme Güvenlik Açığı’nın (CVE-2023-29199) CVSSv3.1 puanının 9,8 olduğunu, Rastgele Kod Yürütme Güvenlik Açığı’nın (CVE-2023-30547) ayrıca CVSSv3.1 puanının 9,8 olduğunu açıklıyor.
Bu güvenlik açıkları kritik kabul edilir ve vm2’nin 3.9.16’ya kadar olan sürümlerini etkiler.
Rapor, özellikle istisna temizleme mantığındaki kaynak kod dönüştürücüdeki güvenlik açığını daha ayrıntılı olarak detaylandırıyor.
Saldırganlar, handleException() işlevini atlayabilir ve temizlenmemiş ana bilgisayar özel durumlarını ortaya çıkarabilir ve sonuçta uzaktan kod yürütme ayrıcalıklarına yol açabilir.
Sonuç olarak, vm2 kitaplığının kullanıcılarının olası saldırılara karşı korunmak için sistemlerini en son sürüme güncellemesi gerekir.
Yazılımı güncel tutmak ve yamaları hemen uygulamak, güvenlik ihlali riskini azaltmaya yardımcı olabilir.
vm2 kitaplığı, finans, sağlık ve e-ticaret dahil olmak üzere çeşitli sektörlerde yaygın olarak kullanılmaktadır.
Bu nedenle, bu güvenlik açıklarının etkisini anlamak ve sistemlerinizin korunmasını sağlamak için gerekli önlemleri almak çok önemlidir.
Çözüm
Cyble Security Update Advisory, vm2 JavaScript kitaplığındaki uzaktan kod yürütülmesine yol açabilecek kritik güvenlik açıklarını vurgular.
Potansiyel güvenlik ihlali riskini en aza indirmek için tüm yazılım bileşenlerine yönelik güvenlik yamaları ve güncellemeleri konusunda güncel kalmak çok önemlidir.
Kuruluşlar, sistemlerini korumak ve en son güncellemeler ve güvenlik açıklarından haberdar olmak için gerekli önlemleri almalıdır.
Kuruluşlar, proaktif adımlar atarak güvenlik ihlali riskini azaltabilir ve değerli verilerini ve varlıklarını koruyabilir.