Bülten

Citrix XenMobile’da Kritik Zafiyet Keşfedildi #65

XenMobile olarak da bilinen Citrix Endpoint Management (CEM), şirketlerin hassas bilgilerini korumak için güncellemelerin ve güvenlik ayarlarının uygulanmasını sağlayan ve çalışanların hangi uygulamaları yükleyebileceğini kontrol eden bir mobil cihaz yönetim çözümüdür. Citrix 11 Ağustos tarihinde, XenMobile sunucularını etkileyen 5 güvenlik zafiyeti için güncelleme yayınladı. Tespit edilen zafiyetlerden, 2 zafiyetin kritik ve 3 zafiyetin ise orta/düşük […]

Twitter Hack’inden Sorumlu 3 Kişi Yakalandı #64

15 Temmuz’da gerçekleşen, onaylı Twitter hesapları ele geçirilerek yapılan BitCoin dolandırıcılığının arkasındaki beyin olduğu iddia edilen; 17, 19 ve 22 yaşlarındaki 3 kişi tutuklandı. Olayı gerçekleştiren saldırganlar, Twitter çalışanlarına yönelik hedefli saldırılar gerçekleştirerek kurum içi sistemlere erişim kazanmış ve Elon Musk, Jeff Bezos, Bill Gates, Apple, Binance, Coinbase gibi çok takipçili hesaplar dahil olmak üzere […]

Cisco’da Hassas Dosyaların Okunmasına İzin Veren Zafiyet Bulundu #63

Cisco Adaptive Security Appliance (ASA) ve Cisco Firepower Threat Defense (FTD) yazılımlarında yüksek önem derecesine sahip bir Path Traversal zafiyeti keşfedildi. CVE-2020-3452 kodlu bu zafiyet, saldırganların hedef sistemdeki hassas dosyaları okumalarına izin veriyor. Zafiyet, HTTP isteklerindeki URL adreslerinin yetersiz kontrolünden kaynaklanıyor. Cisco yayınladığı belgede, bir saldırganın hedef sisteme özel hazırlanmış bir HTTP isteği göndererek zafiyetten […]

Zoom’da 0-Day Tespit Edildi #62

Zoom Vanity URL, kurumların https://<kurum_adı>.zoom.us  formatında özel URL adresleri ve kuruma özel sayfalar oluşturmalarını sağlayan bir özelliktir. CheckPoint araştırmacıları, Zoom’un Vanity URL özelliğinde bir 0-Day güvenlik zafiyeti keşfettiler. Bu zafiyetten yararlanan saldırganlar, bir kurum çalışanı gibi davranarak, kurum ile ilgili hassas bilgilere erişim sağlayabiliyorlar. Saldırganlar zafiyetten yararlanmak için hedef kurum adıyla https://<kurum_adı>.zoom.us gibi bir özel […]

Twitter’da Saldırganlar Binlerce Dolar Değerinde Bitcoin Topladılar #61

Elon Musk, Jeff Bezos, Bill Gates, Apple, Binance, Coinbase gibi çok takipçili onaylı hesaplar adına saldırganlar tarafından tweetler atıldı. Saldırganlar onaylı hesaplardan attıkları tweetlerde, belirtilen bitcoin adresine para gönderilmesi halinde gönderilen paranın iki katını gönderen kişiye geri yollayacaklarını belittiler. Saldırganlar bu yöntemle yaklaşık 12.8 üzerinde BTC toplamayı başardılar. Twitter’ın olay üzerine yaptığı açıklamada “Saldırganların iç […]

F5 BIG-IP’de Kritik Remote Code Execution Zafiyeti Bulundu #60

F5’in BIG-IP ağ aygıtında CVSS derecesi 10 üzerinden 10 olan kritik bir RCE güvenlik açığı tespit edildi. Güvenlik araştırmacıları, güvenlik açığının giderilmesi için işletmeler ve hükümetlere güvenlik tavsiyelerinde bulundu. CVE-2020-5902 kodlu RCE güvenlik açığı, saldırganın hedef sistem üzerinde uzaktan komut çalıştırma, dosya silme ve ekleme, servisleri devre dışı bırakma gibi işlemleri gerçekleştirmesine olanak sağlıyor. Ayrıca, […]

Microsoft 2 Kritik Açıklık İçin Güvenlik Güncelleştirmesi Yayınladı #59

Microsoft, kritik seviyedeki iki güvenlik açığı için güncelleştirme yayınladı. CVE-2020-1425 ve CVE-2020-1427 kodlu iki güvenlik açığı, Microsoft Windows Codec kütüphanesinin bellekteki nesneleri işleme biçiminde meydana gelen bir hatadan kaynaklanıyor. Hata, bir saldırganın uzaktan kod çalıştırmasına olanak veriyor. CVE-2020-1427 kodlu güvenlik açığı, bir saldırganın hazırladığı zararlı bir görüntü dosyasını sosyal mühendislik tekniklerini kullanarak kurbana göndermesi ve […]

Microsoft Windows Defender’da Güvenlik Açığı Tespit Edildi #58

Windows Defender’da CVE-2020-1170 kodlu bir hak ve yetki yükseltme güvenlik açığı tespit edildi. Saldırganın güvenlik açığından faydalanmak için sistemde oturum açması gerekiyor. Böylece saldırgan, güvenlik açığından etkilenen sistemin denetimini yüksek yetki ile ele geçirebiliyor. Sistem denetiminin yüksek yetkilerle ele geçirilmesiyle de sistemde dosya silme, dosya oluşturma ve dosya çalıştırma gibi kritik işlemler yapılabiliyor. Güvenlik açığından […]

Oracle E-Business Suite Paketinde Kritik Zafiyetler Keşfedildi #57

CRM, ERP ve SCM uygulamalarını otomatikleştirmek için tasarlanan ve finans, lojistik, satın alma, insan kaynakları gibi onlarca modül içeren entegre uygulama paketi Oracle E-Business Suite’da, Onapsis güvenlik araştırmacıları tarafından 2 kritik güvenlik zafiyeti keşfedildi. BigDebIT olarak adlandırılan bu zafiyetler 10 üzerinden 9.9 CVSS puanı aldı. Zafiyetlerden yararlanan bir saldırgan, kurumlara ait hassas bilgileri çalabilir ve […]

Windows SMB Protokolünde Kritik Zafiyet Bulundu! #56

Güvenlik araştırmacıları tarafından SMBv3 protokolünü etkileyen kritik bir zafiyet keşfedildi. Siber güvenlik firması ZecOps tarafından “SMBleed” (CVE-2020-1206) olarak adlandırılan bu zafiyet, SMB’nin decompression fonksiyonundan kaynaklanıyor. Zafiyetten yararlanan bir saldırgan, hedef sistemin çekirdek belleğine uzaktan erişim sağlayabiliyor. ZecOps araştırmacıları, zafiyetin Srv2DecompressData adlı fonksiyonun SMBv3 sunucusuna gönderilen özel hazırlanmış mesaj isteklerini işleme biçiminden kaynaklandığını belirtti. Böylece kimlik […]

Apple’da 100 Bin Dolarlık Kritik Zafiyet Tespit Edildi #55

Siber güvenlik araştırmacısı Bhavuk Jain, kullanıcıların 3. taraf uygulamalar üzerinde Apple hesaplarını kullanarak oturum açmalarını sağlayan “Sign in with Apple” özelliğinde kritik bir account takeover zafiyeti keşfetti. Zafiyet, Apple kimlik doğrulama özelliğini kullanan 3. taraf uygulamaları etkiliyor ve zafiyetten yararlanan saldırganların, kullanıcı hesaplarını ele geçirmelerine neden oluyor. “Sign in with Apple” özelliğini kullanan uygulamalar üzerinde […]

Samsung Telefonlarda Kritik Güvenlik Açığı Bulundu #54

Google’ın Project Zero ekibinde çalışan güvenlik araştırmacısı Mateusz Jurczyk, 2015’ten itibaren çıkan bütün Samsung telefonları etkileyen kritik bir güvenlik açığı keşfetti. Güvenlik açığı hiçbir kullanıcı etkileşimi gerektirmeden, saldırganın hedefe Multimedya mesaj (MMS) göndermesiyle tetiklenebiliyor ve başarılı bir exploitation sonrası saldırgana telefon üzerinde erişim veriyor. Android işletim sistemi resim yükleme ve göstermek için BMP, ICO, PNG, […]