ABD siber güvenlik otoritesi CISA, açık kaynaklı yazılım Roundcube Webmail'e yönelik saldırılara karşı uyarıyor. Bu, suçluların artık hedef aldığı kritik, yüksek riskli bir güvenlik açığıdır.
Duyurudan sonra devamını okuyun
Her zamanki gibi CISA'nın uyarısı son derece kısa. Saldırılar, güvenilmeyen verilerin seri durumdan çıkarılmasındaki bir güvenlik açığına dayanıyordu (CVE-2025-49113, CVSS) 9.9risk”eleştirmen“) ve siteler arası komut dosyası çalıştırma güvenlik açığı (CVE-2025-68461, CVSS) 7.2risk”yüksek“) gözlemlendi. Saldırıların neye benzediği ve ne ölçüde gerçekleştiği henüz belli değil. Ancak BT yöneticilerinin tereddüt etmemesi ve güvenlik hatalarının en son düzeltilmiş versiyonuna başvurması gerekiyor. Web postası RoundCube güncelleme.
“Kritik” olarak sınıflandırılan güvenlik açığı, NIST tarafından yalnızca 8,8 CVSS değeriyle yüksek riskli olarak sınıflandırıldı. Ancak geçen yılın haziran ayı başlarında güvenlik açığının kötüye kullanıldığını gösteren bir istismar örneği ortaya çıktı. Bu güvenlik açığı, saldırganların savunmasız sistemlerde rastgele komutlar yürütmesine olanak tanıyor. Bu amaçla geçerli bir e-posta hesabı gereklidir. Bu güvenlik açığı Web postası Roundcube 1.5.10 ve 1.6.11 kapalı.
Roundcube Webmail: iki güvenlik açığı saldırıya uğradı
İkinci güvenlik açığı Noel'den hemen önce öğrenildi. Siteler arası komut dosyası çalıştırma saldırılarına izin verir. Güvenlik açığı, SVG dosyalarındaki “Animate” etiketinin işlenmesini etkiliyor. Yine NIST başlangıçta CVSS değeri 6,1 ile orta riski sınıflandırırken, MITRE “yüksek” tehdit seviyesi ve CVSS değeri 7,2 ile yüksek riski görüyor. Gözlemlenen saldırılar ikinci değerlendirmeyi destekliyor gibi görünüyor.
BT yöneticileri, 1.5.12 ve 1.6.12 hatalarının en azından doğru sürümlerini yükleyerek sistemlerini korumalıdır. Geliştiriciler siteler arası komut dosyası oluşturma boşluğunu doldurdu. CISA ayrıca yöneticilerin örneklerinin saldırıya uğrayıp uğramadığını doğrulamak için kullanabileceği başarılı saldırı göstergelerini (Uzlaşma Göstergeleri, IOC) sağlamaz.
(Bilmiyorum)
Bir yanıt yazın