Popüler açık kaynaklı komut satırı metin düzenleyicisi olan VIM’de, saldırganların kullanıcıların sistemlerinde keyfi dosyaların üzerine yazmasına izin verebilecek kritik bir güvenlik açığı keşfedilmiştir.
CVE-2025-53906 olarak adlandırılan güvenlik açığı, 15 Temmuz 2025’te yayınlandı ve 9.1.1551’den önce VIM’in tüm sürümlerini etkiliyor.
Güvenlik kusuru, Zip arşiv dosyalarını işleyen Vim’in Zip.vim eklentisindeki bir yol geçiş sorunundan kaynaklanmaktadır.
| Alan | Detaylar |
| CVE kimliği | CVE-2025-53906 |
| Başlık | VIM’in Zip.VIM ve özel hazırlanmış zip arşivleri ile yol geçiş sorunu var |
| CWE | CWE-22: Bir yol adının kısıtlı bir dizine uygunsuz sınırlandırılması (“yol geçiş”) |
| CVSS Puanı | 4.1 (Orta) |
| Etkilenen sürümler | 9.1.1551’den önceki tüm sürümler |
| Yamalı versiyon | 9.1.1551 |
Kullanıcılar VIM kullanarak özel olarak hazırlanmış zip arşivleri açtıklarında, kötü amaçlı aktörler, hassas dosyaların üzerine yazmak veya yürütülebilir kodu hedef sistemdeki ayrıcalıklı konumlara yerleştirmek için bu güvenlik açığını kullanabilir.
Saldırı vektörü, amaçlanan dizin kısıtlamalarından kaçmak için zip arşivlerindeki dosya yollarının manipüle edilmesine dayanır.
Ortak güvenlik açığı puanlama sistemine (CVSS) göre, güvenlik açığı 4.1’lik bir orta şiddet derecesi verilmiştir.
Puanlama, doğrudan kullanıcı etkileşimi ve hedef sisteme yerel erişim gereksinimi de dahil olmak üzere istismarın acil etkisini sınırlayan çeşitli faktörleri yansıtır.
CVSS vektör dizesi (CVSS: 3.1/AV: L/AC: H/PR: N/UI: R/S: C/C: N/I: L/A: L), yüksek saldırı karmaşıklığını ve riski biraz azaltan gerekli kullanıcı etkileşimini gösterir.
Orta şiddet derecelendirmesine rağmen, siber güvenlik uzmanları başarılı sömürünün ciddi sonuçları olabileceği konusunda uyarıyor.
Güvenlik açığı, CWE-22 altında sınıflandırılmıştır: Yol adının genellikle yol geçiş olarak bilinen kısıtlı bir dizine uygunsuz sınırlandırılması.
En kötü senaryoda, saldırganlar temel işletim sisteminde keyfi kod yürütme sağlayabilir ve potansiyel olarak tüm sistemlerden ödün verebilirler.
Güvenlik açığı, düzenleme için doğrudan VIM içindeki ZIP arşivlerini açan kullanıcıları özellikle hedefler. Bir kurban kötü amaçlı bir zip dosyası açtığında, istismar hem dosya adını hem de dosya içeriğini ortaya çıkarabilir, ancak dikkatli kullanıcılar şüpheli etkinlik fark edebilir.
Saldırının başarısı, arşivi düzenleyen sürecin izinlerine bağlıdır, yani yüksek ayrıcalıklara sahip kullanıcılar daha yüksek risklerle karşı karşıyadır.
Ortak güvenlik açıkları ve maruziyetler (CVE) numaralandırma otoritesi olarak hareket eden GitHub, bu güvenlik danışmanlığını resmi olarak yayınladı.
VIM geliştirme ekibi, yol geçiş istismarını önleyen kapsamlı bir yama içeren 9.1.1551 sürümünü yayınlayarak güvenlik açığını zaten ele almıştır.
Güvenlik profesyonelleri, tüm VIM kullanıcılarının bu güvenlik açığına karşı koruma sağlamak için hemen 9.1.1551 veya daha sonraki sürümlere güncellemelerini önerir.
Sistem yöneticileri, bu güncellemeyi kuruluşları arasında, özellikle VIM’in harici dosyaları veya arşivi işlemek için kullanıldığı sistemlerde önceliklendirmelidir.
Hemen güncelleme yapamayan kullanıcılar, özellikle güvenilmeyen kaynaklardan alınan ZIP dosyalarını VIM ile açarken çok dikkatli olmalıdır.
Ek bir önlem olarak, güncelleme uygulanana kadar zip arşiv içeriğini incelemek için alternatif yöntemler kullanmayı düşünün.
Keşif, güncellenmiş yazılım sürümlerini ve popüler geliştirme araçlarındaki dosya işleme eklentileriyle ilişkili potansiyel güvenlik risklerini korumanın devam eden önemini vurgulamaktadır.
Günlük Siber Güvenlik Haberleri’nde güncel olun. Bizi takip edin Google News, LinkedIn ve X’te.