Xerox FreeFlow Core yazılımı için acil bir güvenlik güncellemesi yayınlandı ve saldırganların uzaktan kodu yürütmesine ve sunucu tarafı istek ambalge saldırıları gerçekleştirmesine izin verebilecek iki kritik güvenlik açığını ele aldı.
CVE-2025-8355 ve CVE-2025-8356 olarak tanımlanan güvenlik açıkları, FreeFlow çekirdek sürüm 8.0.4’ü etkiler ve potansiyel sömürü önlemek için derhal yama gerektirir.
Horizon3.Ai’deki güvenlik araştırmacıları bu kusurları keşfetti ve uygun hafifletmeler geliştirmek için Xerox ile işbirliği içinde çalıştı.
Key Takeaways
1. Xerox FreeFlow Core v8.0.4 has XXE/SSRF and Path Traversal/RCE vulnerabilities.
2. Attackers can bypass firewalls, access sensitive data.
3. Upgrade immediately to prevent exploitation.
SSRF ve RCE güvenlik açıkları
İlk güvenlik açığı olan CVE-2025-8355, sunucu tarafı istek amptör (SSRF) saldırılarına yol açan bir XML harici varlık (XXE) işlem kusurunu içerir.
Bu tür bir güvenlik açığı, bir uygulama harici varlık referanslarını düzgün bir şekilde devre dışı bırakmadan XML girişini işlediğinde, saldırganların XML ayrıştırıcısını dahili sistemlere yetkisiz talepler yapmaları için manipüle etmesine izin verdiğinde meydana gelir.
SSRF sömürüsü yoluyla, kötü niyetli aktörler potansiyel olarak hassas iç kaynaklara erişebilir, güvenlik duvarı kısıtlamalarını atlayabilir ve hedef ağ altyapısı hakkında istihbarat toplayabilir.
İkinci ve daha şiddetli güvenlik açığı olan CVE-2025-8356, uzaktan kod yürütmeye (RCE) yükselebilen bir yol geçirme zayıflığını temsil eder.
Yol geçiş güvenlik açıkları, “../” dizileri gibi özel karakterlerle dosya yollarını manipüle ederek saldırganların amaçlanan uygulama kapsamı dışındaki dosyalara ve dizinlere erişmelerini sağlar.
Başarılı bir şekilde kullanıldığında, bu güvenlik açığı saldırganların kötü amaçlı dosyalar yüklemesine, sunucuda keyfi komutlar yürütmesine ve etkilenen sistem üzerinde potansiyel olarak tam kontrol kazanmasına izin verebilir.
| CVE | Başlık | Şiddet |
| CVE-2025-8355 | XML Harici Varlık (XXE) Sunucu tarafı isteği ACHRIVERY (SSRF) | ÖNEMLİ |
| CVE-2025-8356 | Uzaktan kod yürütülmesine yol açan yol geçişi (RCE) | ÖNEMLİ |
Hafifletme
Xerox, 8 Ağustos 2025’te bu güvenlik açıklarının eleştirel doğasını vurgulayarak ve derhal iyileştirmeye çağıran bir güvenlik bültenini yayınladı.
Şirket, etkilenen sistemler üzerinde önemli potansiyel etkiyi gösteren “önemli” bir ciddiyet düzeyinde her iki güvenlik açıkını da derecelendirmiştir.
Başarılı bir sömürü tüm ağ segmentlerini tehlikeye atabileceğinden, bu güvenlik açıkları açılmadan kalırsa, baskı altyapılarında serbest akış çekirdeği çalıştıran kuruluşlar önemli bir riskle karşı karşıyadır.
Horizon3.Ai’den Jimi Sebree, sorumlu açıklama uygulamaları aracılığıyla Xerox’un güvenlik ekibiyle işbirliği yaptı ve kamu açıklamasından önce uygun düzeltmelerin geliştirilmesini sağladı.
Xerox, hem CVE-2025-8355 hem de CVE-2025-8356 için kapsamlı yamalar içeren kesin çözüm olarak FreeFlow Core sürüm 8.0.5’i yayınladı.
Kuruluşlar, bu yeni açıklanan güvenlik açıklarını hedefleyen potansiyel saldırıları önlemek için resmi Xerox dağıtım kanalları aracılığıyla bu güncellemenin derhal konuşlandırılmasına öncelik vermelidir.
SOC’nizi en son tehdit verilerine tam erişimle donatın Herhangi biri. Olay yanıtı iyileştirebilir -> 14 günlük ücretsiz deneme alın