Kaspersky uzmanlar\u0131, Zimbra Collaboration yaz\u0131l\u0131m\u0131nda ge\u00e7ti\u011fimiz g\u00fcnlerde ke\u015ffedilen CVE-2022-41352 g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131n, bilinmeyen APT gruplar\u0131nca k\u00f6t\u00fcye kullan\u0131ld\u0131\u011f\u0131n\u0131 ortaya \u00e7\u0131kard\u0131. Bu gruplardan en az biri Orta Asya\u2019da g\u00fcvenlik a\u00e7\u0131\u011f\u0131 bulunan sunuculara sald\u0131r\u0131yor.<\/p>\n
Bu g\u00fcvenlik a\u00e7\u0131\u011f\u0131, Zimbra Collaboration paketinin bir par\u00e7as\u0131 olan Amavis i\u00e7erik filtresinin kulland\u0131\u011f\u0131 ar\u015fiv a\u00e7maya yard\u0131mc\u0131 olan cpio adl\u0131 programda ke\u015ffedildi. Sald\u0131rganlar, i\u00e7inde bir web-shell (kabuk) bulunan k\u00f6t\u00fc ama\u00e7l\u0131 bir .tar ar\u015fivi olu\u015fturabilir ve bunu, g\u00fcvenlik a\u00e7\u0131\u011f\u0131 olan Zimbra Collaboration yaz\u0131l\u0131m\u0131na sahip bir sunucuya g\u00f6nderebilir. Amavis filtresi bu ar\u015fivi denetlemeye ba\u015flad\u0131\u011f\u0131nda, web-shelli genel dizinlerden birine y\u00f6nlendiren cpio yard\u0131mc\u0131 program\u0131n\u0131 a\u00e7\u0131yor. Bu durumda, sald\u0131rganlar\u0131n sadece web-shelleri \u00e7al\u0131\u015ft\u0131rmalar\u0131 ve sald\u0131r\u0131ya u\u011frayan sunucuda rastgele komut y\u00fcr\u00fctmeleri gerekiyor. Ba\u015fka bir deyi\u015fle, bu g\u00fcvenlik a\u00e7\u0131\u011f\u0131, tarfile mod\u00fcl\u00fcndeki<\/a> g\u00fcvenlik a\u00e7\u0131\u011f\u0131na benziyor.<\/p>\n G\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131n ayr\u0131nt\u0131l\u0131 teknik a\u00e7\u0131klamas\u0131na Securelist\u2019teki g\u00f6nderiden<\/a> ula\u015fabilirsiniz. Ayr\u0131ca uzmanlar\u0131m\u0131z\u0131n ara\u015ft\u0131rd\u0131\u011f\u0131 sald\u0131r\u0131larda, sald\u0131rganlar\u0131n web-shellerini yerle\u015ftirdikleri dizinlerin listesini blog yaz\u0131s\u0131nda bulabilirsiniz.<\/p>\n 14 Ekim\u2019de Zimbra, kurulum talimatlar\u0131yla birlikte bir yama yay\u0131nlad\u0131. G\u00fcvenlik a\u00e7\u0131\u011f\u0131ndan korunmak i\u00e7in al\u0131nacak ilk mant\u0131kl\u0131 ad\u0131m, buradan ula\u015f\u0131labilen<\/a> son g\u00fcncellemeleri y\u00fcklemek. Herhangi bir nedenle bu yamay\u0131 y\u00fckleyemiyorsan\u0131z, ge\u00e7ici bir \u00e7\u00f6z\u00fcm mevcut: Hen\u00fcz cpio\u2019nun yamal\u0131 bir s\u00fcr\u00fcm\u00fc olmasa da g\u00fcvenlik a\u00e7\u0131\u011f\u0131 bulunan bir sunucuya pax yard\u0131mc\u0131 program\u0131 y\u00fckleyerek sald\u0131r\u0131y\u0131 \u00f6nleyebilirsiniz. Bu durumda, Amavis .tar ar\u015fivlerini a\u00e7mak i\u00e7in cpio yerine pax kullanacak. Ancak, bunun ger\u00e7ek bir \u00e7\u00f6z\u00fcm olmad\u0131\u011f\u0131n\u0131 hat\u0131rlatmakta fayda var. Teorik olarak, sald\u0131rganlar cpio\u2019dan yararlanman\u0131n ba\u015fka bir yolunu bulabilirler.<\/p>\n Bu g\u00fcvenlik a\u00e7\u0131\u011f\u0131ndan dolay\u0131 sald\u0131r\u0131ya u\u011frad\u0131\u011f\u0131n\u0131zdan \u015f\u00fcpheleniyorsan\u0131z veya Securelist<\/a>\u2018teki dizinlerden birinde web-shell ile kar\u015f\u0131la\u015f\u0131rsan\u0131z, uzmanlar\u0131m\u0131z olay m\u00fcdahalesi<\/a> uzmanlar\u0131yla ileti\u015fime ge\u00e7menizi \u00f6neriyor. Sald\u0131rganlar, di\u011fer hizmet hesaplar\u0131na \u00e7oktan eri\u015fmi\u015f veya arka kap\u0131lar kurmu\u015f bile olabilir. Bu durum sald\u0131rganlara, web-shell kald\u0131r\u0131lsa bile sald\u0131r\u0131ya u\u011frayan sisteme yeniden eri\u015fim f\u0131rsat\u0131 veriyor.<\/p>\nKendinizi koruman\u0131n yollar\u0131<\/h2>\n