Progress Software, MOVEit Transfer platformunda 29 Ekim 2025’te keşfedilen yüksek önemdeki bir güvenlik açığını gidermek için güvenlik yamaları yayınladı.
CVE-2025-10932 olarak takip edilen kusur, AS2 modülünü etkiliyor ve saldırganların sistem kaynaklarını uygun kısıtlamalar olmadan tüketmesine olanak tanıyor.
| Bağlanmak | Detaylar |
| CVE Kimliği | CVE-2025-10932 |
| Güvenlik Açığı Türü | Kontrolsüz Kaynak Tüketimi (CWE-400) |
| Etkilenen Bileşen | Progress MOVEit Transfer AS2 Modülü |
| CVSS Puanı | 8.2 (YÜKSEK) |
Bu güvenlik açığı, özellikle güvenli dosya alışverişi ve veri yönetimi işlemleri için MOVEit Transfer’e güvenen binlerce kurumsal kuruluşu riske atıyor.
Güvenlik açığı, CVSS önem puanı olarak 8,2 aldı ve bu, onu acil müdahale gerektiren yüksek riskli bir tehdit olarak kategorize etti.
Diğer bazı kritik kusurlardan farklı olarak, bu özel sorun, kimlik doğrulama veya kullanıcı etkileşimi gerektirmiyor; bu, saldırganların minimum giriş engeliyle bu durumdan uzaktan yararlanabileceği anlamına geliyor.
Progress Software, yamalı sürümleri yayınlayarak ve sistemlerini hemen güncelleyemeyen müşteriler için geçici koruyucu önlemler uygulayarak sorunu çözmek için hızlı bir şekilde harekete geçti.
Güvenlik Açığı ve Etkisini Anlamak
Kontrolsüz kaynak tüketimi kusuru, finansal kurumlar, sağlık hizmeti sağlayıcıları ve devlet kurumları tarafından güvenilen, yaygın olarak kullanılan bir dosya aktarım çözümü olan MOVEit Transfer içindeki AS2 modülünü etkiliyor.
Güvenlik açığı, bir saldırganın aşırı sunucu kaynaklarını tüketen özel hazırlanmış istekler göndermesine olanak tanır ve bu da potansiyel olarak hizmetin bozulmasına veya sistemin tamamen kullanılamaz hale gelmesine neden olur.
Hizmet reddi güvenlik açığı olarak bilinen bu tür saldırı, kritik iş operasyonlarını kesintiye uğratabilir ve önemli dosya aktarımı iş akışlarını kesintiye uğratabilir.
MOVEit Transfer’in birden fazla sürümü bu saldırıya karşı savunmasız durumda. Progress, 2025.0.0 ila 2025.0.2, 2024.1.0 ila 2024.1.6 ve 2023.1.0 ila 2023.1.15 arasındaki sürümlerin hepsinin kusur içerdiğini doğruladı.
Bu sürümlerden herhangi birini çalıştıran kuruluşlar, bu güncelleştirmeyi öncelikli bir güvenlik sorunu olarak ele almalıdır.
Progress, AS2 modülünü yetkisiz erişime karşı korumak için IP adresi beyaz listesi uygulayan yamalı sürümleri yayınladı.
MOVEit Transfer’i kullanan kuruluşların operasyonel gereksinimlerine bağlı olarak iki ana seçeneği vardır.
Mevcut bakım anlaşmaları olan müşteriler, sabit sürümleri kimlik bilgilerini kullanarak doğrudan İlerleme İndirme Merkezi’nden indirebilir. Bunlar, ilgili sürüm dalları için MOVEit Transfer 2025.0.3, 2024.1.7 ve 2023.1.16’yı içerir.
Yamaları hemen dağıtamayan kuruluşlar için Progress, belirli dosyaları kurulum dizininden kaldırarak AS2 modülünün geçici olarak devre dışı bırakılmasını önerir.
Bu geçici çözüm, kuruluşlar güncelleme programlarını planlarken sistemleri korur. Alternatif olarak yöneticiler, güvenilir AS2 ticaret ortaklarının IP adreslerini beyaz listeye ekleyerek yamalar yüklenene kadar maruz kalmayı sınırlayabilir.
Şirket, bulutta barındırılan bulut sunucularını zaten yamalı sürüme yükselttiğinden, Progress MOVEit Cloud müşterilerinin herhangi bir işlem yapmasına gerek yok. Şirket içi kurulumlar yürüten kuruluşların sistemlerini bu tehdide karşı korumak için aktif adımlar atması gerekir.
Anında Güncellemeler Almak ve GBH’yi Google’da Tercih Edilen Kaynak Olarak Ayarlamak için bizi Google Haberler, LinkedIn ve X’te takip edin.