Kritik bir SQL enjeksiyonu (SQLi) güvenlik açığı, yeni bir güncellemenin sonucu olarak ağ güvenlik şirketi SonicWall tarafından yakın zamanda düzeltildi.
Şirketin Analitik Yerinde ve Global Yönetim Sistemi (GMS) ürünleri bu kritik kusurdan etkilenir ve sonuç olarak güncellenmeleri gerekir.
Takip edilen kusura CVE-2022-22280 atandı. SQL komutlarında kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesi nedeniyle bu güvenlik açığı SQL enjeksiyonuna izin verir.
SonicWall PSIRT’in kuruluşların uygun şekilde yamalı sürüme mümkün olan en kısa sürede yükseltme yapmaları konusunda güçlü bir tavsiyesi vardır.
Kusur Profili
- CVE: CVE-2022-22280
- CVSS v3 9.4
- Önem: Kritik
- Özet: Sonicwall GMS ve Analytics’te Kimliği Doğrulanmamış SQL Enjeksiyonu
- Danışma Kimliği: SNWLID-2022-0007
Etkilenen Ürünler ve Sürümler
Aşağıda, etkilenen ürünlerden ve sürümlerden bahsettik: –
- GMS: 9.3.1-SP2-Hotfix1 ve önceki sürümler
- Analitik: 2.5.0.3-2520 ve önceki sürümler
Açıklamayı netleştirmek için SonicWall, vahşi doğada bildirilen herhangi bir aktif istismarın farkında olmadığını iddia etti. Kısacası, bu güvenlik açığından henüz yararlanılmadı ve bu güvenlik açığından yararlanıldığına dair bir kanıt yok.
Bu kusur, 2.5.0.3-2520 ve önceki sürümleri etkileyen DBappSecurity HAT laboratuvarının H4lo ve Catalpa tarafından keşfedilmiş ve rapor edilmiştir.
Güvenlik açığı olan cihazlara güvenen kuruluşların sabit sürüme yükseltme yapmaları şiddetle tavsiye edilir: –
- Analytics 2.5.0.3-2520-Düzeltme1
- GMS 9.3.1-SP2-Düzeltme-2
SQL enjeksiyonları, bir saldırganın içeriğine erişmek için meşru bir SQL sorgusunu değiştirebileceği bir tür hatadır.
Ardından, bir web sayfasının form veya URL sorgu değişkenlerine özel hazırlanmış bir kod dizesi girer ve girişe dayalı olarak beklenmeyen davranışlar gerçekleştirir.
Mevcut durumda, bu güvenlik açığının yerinde bir geçici çözümü yoktur. Saldırganların güvenlik açığından yararlanmalarının engellenmesi için gerekli güvenlik güncellemelerinin ve azaltımlarının uygulanması şarttır.
Bizi Linkedin’den takip edebilirsiniz, heyecanGünlük Siber Güvenlik güncellemeleri için Facebook.