BiznetBiznet

By Murat Aydemir

ManageEngine OPManager Unrestricted/Arbitrary File Upload Güvenlik Açıklığı

CVE: CVE-2018-18475

CVSS:9.6 CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Risk Seviyesi: Acil

Ürün: ManageEngine OPManager

Etkilenen Sürümler: OPManager version 12.3

Yama Tarihi: 16.10.2018

Raporlayan: Murat Aydemir

Problem Detayları:İlgili uygulama içerisinde iş tanımı yapılırken kullanılan dosya yükleme fonksiyonunun content-type ve extension kontrollerini eksiz/geçersiz yapması, kötü niyetli saldırganların, sunucu üzerinde kod çalıştırmalarını sağlayacak zararlı kodları sisteme yüklemesine olanak tanımaktadır.

Çözüm/Öneri:ManageEngine ilgili zafiyeti giderek yeni bir sürüm çıkarmıştır. Güncel olan en son sürümünün kullanılması tavsiye edilmiştir.

Referanslar:

https://seclists.org/fulldisclosure/2018/Oct/42
https://www.manageengine.com/network-monitoring/help/read-me.html
https://bugbounty.zoho.com/bb/info#hof

By Murat Aydemir

ManageEngine OPManager Stored XSS Güvenlik Açıklığı

CVE: CVE-2018-18262

CVSS: 9.6 CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Risk Seviyesi: Acil

Ürün: ManageEngine OPManager

Etkilenen Sürümler: OPManager version 12.3

Yama Tarihi: 15.10.2018

Raporlayan: Murat Aydemir

Problem Detayları: Uygulamanın kullandığı kategori ekleme fonksiyonu Cross Site Scripting zafiyetinden etkilenmektedir. Zafiyetin sömürülmesi halinde oturum cookieleri çalınabilir, hedef sunucu üzerinde yetkisiz olarak javascript kodları yorumlatılabilir.

Çözüm/Öneri: ManageEngine ilgili zafiyeti giderek yeni bir sürüm çıkarmıştır. Güncel olan en son sürümünün kullanılması tavsiye edilmiştir.

Referanslar:

https://seclists.org/fulldisclosure/2018/Oct/34

https://www.manageengine.com/network-monitoring/help/read-me.html

https://www.manageengine.com/network-monitoring/download.html

 

By Murat Aydemir

ManageEngine OPManager SQL Injection Güvenlik Açıklığı

CVE: CVE-2018-17243
CVSS: 10.0 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Risk Seviyesi: Acil
Ürün: ManageEngine OPManager
Etkilenen Sürümler: OPManager version 12.3
Yama Tarihi: 19.09.2018
Raporlayan: Murat Aydemir
Problem Detayları: Global arama ekranı SQL Injection zafiyetinden etkilenmektedir. Zafiyetin sömürülmesi halinde veritabanındaki hassas bilgiler yetkisiz kullanıcılar tarafından okunabilmektedir.
Çözüm/Öneri: ManageEngine ilgili zafiyeti giderek yeni bir sürüm çıkarmıştır. Güncel olan en son sürümünün kullanılması tavsiye edilmiştir.
Referanslar:

By Murat Aydemir

Triton/TrISIS/HatMan Zararlı Yazılımı ve Çıkarılması Gereken Dersler

14 Aralık 2017 itibari Endüstriyel Kontrol Sistemlerine (EKS) yönelik saldırılar Triton/TriSIS/HatMan zararlı yazılımı ile tekrar gündeme geldi.

Triton en sade hali ile Schneider Electric Triconex Safety Instrumented Systems (SIS) controller’larını hedef alan EKS zararlı yazılımıdır.

Zararlı yazılıma ilişkin detaylı raporlar incelendiğinde Triton’un Ortadoğu’daki bir işletmeyi doğrudan hedef aldığı görülmektedir. Bu saldırının odaklı olarak tekil bir işletme için özel hazırlandığı anlaşılmaktadır. Bu bağlamda aynı SIS sistemine sahip diğer işletmelerin doğrudan saldırılardan etkileneceği söylemek hatalı olacaktır.

Triton SIS sistemlerini hedef alan ilk bilinen zararlı yazılım olması bakımından EKS güvenliği için önemli bir kilometre taşı olarak sınıflandırılabilir.   Read more