Etiket arşivi: RCE zafiyeti

Zafiyet

Apple önemli 0-Day zafiyetlerini giderdi: Güncellemeleri unutmayın

Yorum yapın

Apple kritik 0-day zafiyetlerini giderdiABD’li teknoloji devi Apple geçtiğimiz günlerde istismar edildiği açıklanan 0-day zafiyetlerini yayımlanan güncellemelerle giderdi.

Apple’ın iPhone, iPad, iPod, MacOS ve Apple Watch ürünlerindeki Webkit motorunun aktif olarak istismar edildiği şirket tarafından açıklanmıştı.

Web tarayıcılarına, web sayfalarının işlenmesine izin vermek için tasarlanan Webkit motorunda keşfedilen CVE-2021-30665 ve CVE-2021-30663 hata kodlu 0-day’ler, RCE saldırılarında kullanılıyor.

CVE-2021-30665, Çinli güvenlik şirketi Qihoo 360 araştırmacıları tarafından keşfedilirken, CVE-2021-30663 anonim olarak kalmak isteyen bir araştırmacı tarafından bildirildi.

Söz konusu 0-day’ler  iPhone 6s ve üstü, iPad Pro (tüm modeller), iPad Air 2 ve üstü, iPad 5. nesil ve üstü, iPad mini 4 ve üstü ve iPod touch (7. nesil), macOS Big Sur, Apple Watch Series 3 ve sonraki sürümlerini etkiliyor.

EN KAPSAMLI GÜNCELLEMELERDEN BİRİ

Apple ise yayımladığı iOS 14.5.1, iOS 12.5.3, macOS Big Sur 11.3.1 ve watchOS 7.4.1 güncellemelerinde söz konusu güvenlik zafiyetlerini giderdi.

Apple, en kapsamlı güncellemelerinden biri olan iOS 14.5’u uzun bir sürenin ardından yayımlamıştı. Yayımlanan yeni güncelleme beraberinde pek çok özellik getirirken aynı zamanda kritik güvenlik zafiyetlerini gidermek için de önem taşıyordu.

Apple, iOS 14.5’le beraber geçtiğimiz günlerde duyurduğu, istediğiniz herhangi bir nesneyi takip etmenize yarayan AirTag için iPhone ve iPad’lere AirTag desteği sunuyor. Ayrıca Apple, takip şeffaflığı, yeni emojiler, FaceID ve Siri gibi çeşitli konularda yeni özelliklerini devreye sokuyor.

Ancak bunların yanında söz konusu güncelleme, 50 güvenlik zafiyetini gidermeyi hedefliyor.

GÜNCELLEME BİR AN ÖNCE YÜKLENMELİ

Bahsedilen 50 güvenlik zafiyeti arasında son derece kritik olan CVE-2021-30661 hata kodlu açık, WebKit Deposundaki bir hatadan kaynaklanıyor. Siber saldırganlar tarafından ‘aktif olarak istismar edilmiş olabilir’ denilen açık iPhone’larda RCE saldırılarına yol açıyor.

Güncelleştirme boyutu her ne kadar bir miktar zamanınızı alacak kadar büyük olsa da güvenlik araştırmacıları bir an evvel güncellemeyi yüklemenizi öneriyor.

Zafiyet

CISCO’dan çarpıcı güvenlik hamlesi: Kök kullanıcı yetkilerini kaptıran zafiyetler giderildi

Yorum yapın

ABD merkezli teknoloji devi Cisco, önemli bir yazılım ürününde bulunan zafiyetler için müşterilerini uyararak açıkları gideren yamalar paylaştı.

Firma, SD-WAN vManage Software’in sunucularında uzaktan kod çalıştırarak kök kullanıcı yetkilerine (root privileges) erişim sağlayan kritik RCE güvenlik zafiyeti için güncelleme yayımladı.

Cisco’nun güvenlik araştırmacıları tarafından yapılan iç güvenlik testlerinde CVE-2021-1479, CVE-2021-1137 ve CVE-2021-1480 kodlu güvenlik zafiyetlerinin keşfedildiğini duyurdu. Şirket bahsi geçen güvenlik zafiyetlerinin istismar edilmediğini belirtti.

Şirket aynı ürününde, siber saldırganların hem sistem dosya iletimine (CVE-2021-1480) hem de yönetici kullanımına (CVE-2021-1137) ulaşarak ayrıcalık yükseltmesine sebebiyet veren iki kritik güvenlik zafiyetini daha giderdi.

CVE-2021-1479 hata koduna sahip kritik güvenlik zafiyeti 10 üzerinden 9.8’lik CVVS puanı aldı. Söz konusu güvenlik zafiyeti saldırganların savunmasız cihazlar üzerinde kullanıcı etkileşimi gerektirmeden daha az karmaşık saldırılarla arabellek aşımına izin veriyor.

KULLANICILAR HEMEN GÜNCELLEME YAPMALI

Firmadan yapılan açıklamada, “Bir saldırganın bu güvenlik zafiyetini istismar etmesi için önceden hazırladığı bir bağlantı isteğini savunmasız cihaza göndermesiyle arabellek aşımını yapabileceği ve kök ayrıcalıklara sahip olarak uzaktan kod yürütebileceği” belirtildi.

Cisco’nun güvenlik güncellemesi yayımladığı zafiyetler, Cisco SD-WAN v Manage 20.4 ve önceki sürümlerini etkiliyor. Bugün ise 20.4.1, 20.3.3 ve 19.2.4 sürümlerine güncelleme geldi. Şirket, en hızlı şekilde güvenlik güncellemelerinin yapılmasını tavsiye etti.