Popüler Adobe Ürünleri İçin Kritik Güncelleştirmeler Yayınlandı #47

Adobe, kendisine ait 6 tane popüler yazılımda tespit edilen 41 güvenlik açığı ile ilgili güncelleştirmeler yayınladı.

Açıklanan 41 güvenlik açığının 29 tanesi kritik, 12 tanesi yüksek seviye olarak belirtildi.

Güvenlik zafiyeti tespit edilen yazılımlar aşağıdaki gibidir…

• Adobe Genuine Integrity Service
• Adobe Acrobat Reader
• Adobe Photoshop
• Adobe Experience Manager
• Adobe ColdFusion
• Adobe Bridge

Yapılan güncelleştirmeler ile ilgili aşağıdaki bilgiler açıklandı:

• Crackli Adobe yazılımlarının çalıştırılmasını engelleyen Adobe Genuine Integrity Service yazılımında bulunan hak ve yetki yükseltme zafiyeti giderildi.
• Adobe Acrobat Reader yazılımında bulunan 9’u kritik olmak üzere toplam 13 zafiyet giderildi.
• Adobe Photoshop yazılımında ise 16’sı kritik olmak üzere toplamda 22 zafiyet giderildi.
• Adobe Experience Manager uygulamasında hassas bilgi ifşası zafiyeti, Adobe ColdFusion uygulamasında 2 kritik zafiyet ve Adobe Bridge uygulamasında bulunan 2 kritik zafiyet giderildi.

Güncelleştirme ile giderilen kritik dereceli zafiyetlerin, uzaktan kod çalıştırmaya neden olan bellek bozulma hataları olduğu belirtildi. Sadece CVE-2020-3761 kodlu Adobe ColdFusion yazılımındaki kritik zafiyetin, bir saldırganın kurulum dizinindeki dosyaları okuyabilmesine neden olduğu belirtildi. Güvenlik açıklarından etkilenmemek için güncelleştirmelerin en kısa sürede yapılması önerilmektedir.

Slack Üzerinde Kritik Zafiyet Bulundu

Bir araştırmacı, Slack’te Account Takeover saldırılarına neden olan kritik bir güvenlik zafiyeti keşfetti ve sorunu Slack ekibine bildirdi. Araştırmacıya göre zafiyetten yararlanan saldırganlar, kendi oluşturdukları botları kullanarak gerçekleştirdikleri saldırılarla, kullanıcı oturumlarını ele geçirebiliyorlar ve bu oturumlar üzerinden kullanıcıların erişebildikleri tüm verilere erişebiliyorlar. Saldırganlar aşağıdaki adımları uygulayarak zafiyetten yararlanıyor:

1. Slack üzerinde bulunan HTTP Request Smuggling zafiyeti kullanılarak, kullanıcı isteklerine yönelik CLTE tabanlı hijacking saldırısı gerçekleştirilir.
2. Kullanıcılar Open-Redirect’e zorlanarak, oturum çerezleriyle birlikte ortak istemciye yönlendirilir.
3. Ortak istemciye gelen istek içerisinde bulunan gizli oturum çerezleri alınarak kullanıcı oturumlarına erişim sağlanır.

Evan Custodio adlı araştırmacı, zafiyeti HackerOne üzerinden Slack ekibine bildirdi ve 6.500$ ödül kazandı. Slack ekibi, sorunun bildirilmesinin ardından 24 saat içerisinde zafiyeti giderdi.

VMware Workstation Pro’da Bulunan Zafiyetler İçin Yama Yayınlandı

VMware, birden fazla ürününü etkileyen çok sayıda zafiyet için yamalar yayınladı. Giderilen zafiyetlerden en önemlisi, VMware Workstation Pro’yu etkileyen guest-to-host zafiyeti olarak belirtildi. VMware’in açıklamasına göre bu zafiyet, sanal makine ile ana bilgisayar arasında olan etkileşimi hedefliyor. Bu zafiyetten yararlanan saldırganlar, sanal makine üzerinden ana makinede komutlar çalıştırabiliyor.

VMware Workstation ve Fusion ürünlerini etkileyen ve CVE-2020-3947 koduyla tanımlanan bu zafiyet, vmnetdhcp servisinden kaynaklanıyor ve saldırganların bu zafiyetten yararlanması ayrıca servis kesintisine neden olabiliyor. Trend Micro ZDI araştırmacıları tarafından VMware ekibine bildirilen bu güvenlik zafiyeti, VMware Workstation v.15.5.2 ve VMware Fusion v.11.5.2 sürümleriyle birlikte giderildi. Zafiyetten etkilenmemek için VMware Workstation ve VMware Fusion ürünlerinin son sürüme güncelleştirilmesi önerilmektedir.

Europol’den SIM Swapping Baskını

Avrupa Polis Teşkilatı Europol, İspanya ve Romanya polisi ile birlikte düzenlediği operasyonda SIM swapping saldırılarıyla 3.9 milyon dolar çalan 26 kişiyi tutukladı.

SIM swapping saldırısı bir saldırganın, çeşitli sosyal mühendislik yöntemleriyle kurbanın SIM kartını ele geçirmesi sonrasında, kurbanın kullandığı bankacılık, anlık mesajlaşma gibi uygulamalarda bulunan SMS ile iki adımlı kimlik doğrulama (2FA) ve SMS ile hesap kurtarma süreçlerini, kurbanın SIM kartı ile atlatmasını sağlıyor ve saldırganın kurban hesaplarını ele geçirmesine olanak tanıyor.

İspanya’daki suç çetesi tarafından, 100’den fazla kurbanın banka hesaplarından 6.700$ ile 153.518$ arasında para çalındığı ve çetenin bu saldırılarda SIM swapping saldırısı yaptığı tespit edildi. Ayrıca saldırganların, SIM swapping saldırılarıyla banka uygulamalarının yanı sıra, kurbanların sosyal medya ve kripto para hesaplarını da ele geçirdikleri tespit edildi.

SIM değişim saldırılarından etkilenmemek için özellikle WhatsApp, Telegram gibi yazılım tabanlı 2FA destekleyen uygulamalarda SMS doğrulaması yerine Google Authenticator gibi yazılım tabanlı 2FA kullanılması tavsiye edilmektedir.