HEWLETT PACKARD ENTERPRISE Ürün Güvenlik Açığı Uyarıları
HPE Ürün Güvenlik Uygulamaları
Hewlett Packard Enterprise, güvenlik konusunda güçlü bir odak sağlamak için ürün geliştirme yaşam döngüsü süresince BT endüstrisinde bulunan en iyi uygulamaları kullanmaktadır. HPE mühendislik ve üretim uygulamaları, ürün güvenliği gereksinimlerini karşılamak, HPE'ye ait fikri mülkiyetlerin korunmasını sağlamak ve HPE ürün garantisi şartlarını desteklemek üzere tasarlanmıştır.
Sektör genelinde bir güvenlik açığı ortaya çıktığında, HPE bu durumun ürün yelpazesi üzerindeki etkisini belirlemek üzere incelemelerde bulunur. Bu durumdan etkilenen ürünler için Güvenlik Bültenleri yayımlanacaktır. Bu bültenlerde, etkilenen ürün sürümleri ve ilgili çözümler (yama, güncelleme veya yapılandırma değişikliği) yer alacaktır.
Gelecekte yayımlanacak HPE Güvenlik Bültenleri ve ürünlerinize ilişkin önerilerle ilgili gerçek zamanlı bildirimler almak için abone olabilirsiniz - Ürünlerinizle ilgili uyarıları almak için abone olun.
+ daha fazlasını göster
Ürün güvenlik açığı uyarıları
-
Apache Software Log4j - Güvenlik Açığı CVE-2021-44228
9 Aralık 2021'de HPE, CVE-2021-44228 ile ilişkili Apache Software Log4j'yi etkileyen bir güvenlik olayından haberdar edildi. HPE, HPE'nin bu güvenlik açığı nedeniyle maruz kalabileceği riskleri anlamak ve düzeltmek için hemen harekete geçti. HPE, bu güvenlik açığının bir sonucu olarak ürünlerinde herhangi bir düzeltme yapılması gerektiğini belirlediği takdirde, HPE müşterilerine de bu düzeltmeyi önerecektir.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir.
-
HPE Sistemler için Insight Manager (SIM) Uzaktan Komut Yürütme (CVE-2020-7200)
15 Aralık 2020'de HPE, bir güvenlik bülteniyle müşterilerini Windows ve Linux üzerinde çalışan HPE Sistemler için Insight Manager'daki (SIM) kritik bir uzaktan kod yürütme güvenlik açığı konusunda bilgilendirdi. Güvenlik açığı HPE'ye, Trend Micro Zero Günü Girişimiyle çalışan Harrison Neal tarafından bildirildi. HPE, HPE SIM'in çalıştığı her sisteme kurulması gereken bir çözüm veya manuel azaltma sağladı.
Daha fazla bilgi için bkz. HPE Güvenlik Bülteni.
-
BootHole Güvenlik Açığı (CVE-2020-10713, CVE-2020-15705) olarak da bilinen UEFI Güvenli Önyükleme Sızma Güvenlik Açığı
29 Temmuz tarihinde, bir araştırmacı Linux GRUB2 önyükleyicilerinde "BootHole" adı verilen bir güvenlik açığı açıkladı (CVE-2020-10713 ve CVE-2020-15705). Güvenlik açığı içeren koda sahip imzalanmış bir GRUB2 önyükleyicisinin UEFI İzin Verilen İmza Veri Tabanı (DB) tarafından yürütülmesine izin verilmesi halinde sistem BootHole sorununa açık hale gelir. Bu güvenlik açığı, Güvenli Önyüklemenin etkin olduğu sistemlerde Güvenli Önyükleme işleminin engellenmesine yol açabilir.
Bu güvenlik açığını önlemek amacıyla, ilgili OS tedarikçileri güncellenmiş bir GRUB2 ve güncellenmiş Yasak İmza Veri Tabanı (DBX) sunmaktadır ve bunların sisteme uygulanması gerekmektedir. Ayrıca etkilenen HPE ürünlerinde bu GRUB2 ve DBX güncellemeleriyle uyumlu güncellemeler yapılacaktır.
Buna ek olarak, BootHole açıklamasında bahsi geçen benzer bir güvenlik açığı bulunmaktadır ve HPE, CVE-2020-7205 kodu atanan bu sorunu ele almaktadır.
HPE, aşağıda ürün etkisi ve çözümü hakkında belgeler sağlamaktadır.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir.
Ek bilgiler HPE Destek Merkezinde yer almaktadır.
-
Ripple20 Güvenlik Açığı - Treck TCP/IP Yığınını Etkileyen Birden Çok Güvenlik Açığı (Birden çok CVE)
JSOF, 16 Haziran 2020'de Treck TCP/IP yığınındaki Ripple20 güvenlik açıklarını açıkladı. HPE, her güvenlik açığını ürünler için geçerliliği bakımından değerlendirmektedir ve çözüm iletişimi kapsamında bu konuda bilgi verecektir.
HPE tarafından değerlendirilen CVE'ler arasında şunlar yer almaktadır: CVE-2020-11896, CVE-2020-11897, CVE-2020-11898, CVE-2020-11899, CVE-2020-11900, CVE-2020-11901, CVE-2020-11902, CVE-2020-11903, CVE-2020-11904, CVE-2020-11905, CVE-2020-11906, CVE-2020-11907, CVE-2020-11908, CVE-2020-11909, CVE-2020-11910, CVE-2020-11911, CVE-2020-11912, CVE-2020-11913, CVE-2020-11914.
Ayrıca Intel, Ripple20 ile ilgili olarak şu 4 CVE'yi yayınladı: CVE-2020-0594, CVE-2020-059, CVE-2020-0595, CVE-2020-8674.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
HPE bu konuyu araştırmaya devam etmektedir ve daha fazla bilgi edinilmesi halinde ürün etki değerlendirmesi güncellenecektir.
-
CacheOut Güvenlik Açığı (CVE-2020-0548 ve CVE-2020-0549)
27 Ocak 2020'de Intel, CPU işlemci mikro kod yazılımlarında bilginin açığa çıkmasına izin veren bir güvenlik açığı olduğunu açıkladı. Güvenlik açığı, sorunları keşfeden araştırmacılar tarafından CacheOut olarak adlandırılmıştır ve CVE-2020-0548 ve CVE-2020-0549 ile ilişkilidir. Intel Güvenlik Önerileri 00329'dan daha fazla ayrıntı edinebilirsiniz.
HPE, aşağıda ürün etkisi ve çözümü hakkında belgeler sağlamaktadır.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir.
Ek bilgiler HPE Destek Merkezinde yer almaktadır.
-
Intel İşlemcileri Kullanan Bazı HPE Sunucularında Plundervolt Güvenlik Açığı (CVE-2019-11157)
10 Aralık 2019'da bir grup güvenlik araştırmacısı, Plundervolt lakaplı bir saldırıyı tanımlayan bir makale yayınladı. Saldırı, Intel Software Guard Extensions (SGX) tarafından korunan kod ve verilerin açıklanmasına veya değiştirilmesine izin verebilecek şekilde CPU voltajını değiştirmek için ayrıcalıklı bir erişim kullanan belirli Intel CPU'larda yaşanmaktadır. Sorun, aşağıdaki bağlantılarda açıklandığı gibi belirli HPE sunucuları etkilemektedir.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir.
Ek bilgiler HPE Destek Merkezinde yer almaktadır.
-
TPM-FAIL Güvenlik Açığı (CVE-2019-16863)
Mayıs 2019'da bir Güvenilir Platform Modülü (TPM) satıcısı olan ST Micro, bir ST TPM ile keşfedilen güvenlik açığını tanımlayan akademik bir ekiple temasa geçti. Güvenlik açığı, tanımlanan bir TPM ürünü tarafından desteklenen Eliptik Eğri Dijital İmza Algoritması (ECDSA) imza oluşturma işlevini hedeflemektedir (ST33TPHF2ESPI - Ürün Yazılımı 73.4). Saldırı TPM komut zamanlaması yürütme ölçümlerine dayanmaktadır (CVE-2019-16863).
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir.
Ek bilgiler HPE Destek Merkezinde yer almaktadır.
-
Linux Çekirdek TCP SACK Acil Durum Uzaktan Kumandası Hizmet Engelleme (CVE-2019-11477, CVE-2019-11478,CVE-2019-11479)
Linux çekirdeğin TCP ağı kullanımında üç adet birbiriyle ilişkili hata tespit edilmiştir. En ciddi güvenlik açıkları, uzaktan saldırı yapan bir kişinin etkilenen çekirdeği çalıştıran sistemlerde mavi ekran tetikleyerek sistem kullanılabilirliğinde kesinti yapmasına neden olabilir. Bu sorunlar şu CVE'lere atanmıştır:
CVE-2019-11477 : SACK Panic
CVE-2019-11478 : SACK Slowness
CVE-2019-11479 : Düşük MSS Değerleri Sebebiyle Aşırı Kaynak Tüketimi
Başta yer alan iki CVE, TCP Maksimum Segment Boyutu (MSS) ile birleştirilen Seçici Kabul Etme (SACK) paketleriyle ilgiliyken üçüncü CVE ise Maksimum Segment Boyutu (MSS) sebebiyle etkilenmektedir.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir.
Ek bilgiler HPE Destek Merkezinde yer almaktadır.
-
Mikromimari Veri Örnekleme (MDS, ZombieLoad, RIDL ve Fallout olarak da bilinir)
14 Mayıs 2019 tarihinde, Intel ve diğer sektör iş ortakları genel adıyla Mikromimari Veri Örnekleme (MDS) denilen bir grup güvenlik açığı hakkında ayrıntıları ve bilgileri paylaştı. CPU'larda bulunan bu güvenlik açıkları bilgilerin ifşa olmasına sebep olabilir. Intel, bu olası güvenlik açıklarını azaltmak için mikrokod güncellemeleri (MCU) yayımlamaktadır. Bunun yanı sıra işletim sistemleri ve hiper yönetici yazılımları için de uygun güncellemeler piyasaya sunuluyor.
Daha detaylı bilgiler CVE-2018-12126, CVE-2018-12127, CVE-2018-12130, CVE-2019-11091 ve Intel Güvenlik Önerilerinde yer almaktadır.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir.
Ek bilgiler HPE Destek Merkezinde yer almaktadır.
-
AMI Aspeed Open BMC Yeniden Yapılandırma ve Güvenliği Geçersiz Kılma, Pantsdown olarak da bilinir, CVE-2019-6260
23 Ocak 2019 tarihinde, bir güvenlik araştırmacısı olan Stewart Smith, Baseband yönetim Denetleyicileri veya kısaca BMC denen bağlı bilgisayar sistem bileşenlerine karşı ve işletim sistemi seviyesinde yapılan ifşa saldırıları hakkında bir blog yayımladı. Bu güvenlik açığına, saldırının gelişme şekli dolayısıyla hazırlıksız yakalanma (pantsdown) saldırısı takma ismi verildi. Bu sorun için CVE-2019-6260 atandı. Aynı zamanda bu saldırının medyada "Cloudborne" adıyla tartışılan saldırıda kullanıldığı iddia edilmektedir. BMC saldırıları düşük seviyeli ürün yazılımının yeniden yüklenmesine, donanım şifrelerinin değiştirilmesine ve sistemin çalışamaz hale gelmesine sebep olabilir. Üçüncü taraf tedarikçilere ait etkilenen BMC'ler değerlendirilmektedir, HPE tarafından güncellemeler sunulacaktır.
CVE-2019-6260 hakkında daha fazla bilgi almak için bkz. NIST NVD
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
Apache Struts 2: Uzak Kod Yürütme Güvenlik Açığı (CVE-2018-11776)
Apache, 22 Ağustos'ta Struts 2.3 ila 2.3.34 ve 2.5 ila 2.5.16 sürümlerinde uygulama bağlamı içerisinde Uzak Kod Yürütmeye ilişkin sorun arz edebilecek bir güvenlik açığını duyurdu. Struts 2, birkaç farklı HPE ürününde kullanılmaktadır. CVE-2018-11776 hakkında daha fazla bilgi almak için, CVE-2018-11776 hakkında daha fazla bilgi almak için bkz. MITRE CVE Sözlüğü ve NIST NVD.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
L1 Terminal Hata – SGX (CVE-2018-3615), L1 Terminal Hata – OS, SMM (CVE-2018-3620), L1 Terminal Hata – VMM (CVE-2018-3646)
14 Ağustos 2018 tarihinde, Intel belirli HPE platformlarında desteklenen işlemcileri etkileyen yeni güvenlik açıklarını ortaya çıkardı. Bu güvenlik açıklarının kötü niyetli olarak kullanılması durumunda, hassas verilerin uygun olmayan şekilde toplanması riski ortaya çıkmaktadır.
Bu güvenlik açıkları, Intel'in L1 Terminal Hata (L1TF) olarak adlandırdığı spekülatif uygulama yan kanal yöntemini kullanmaktadır. Intel ilgili duyuruyu yaptığı esnada L1TF'nin gerçek hayatta bir örneğinin kullanıldığına dair herhangi bir raporu bulunmamaktaydı. Intel 2018'in ilk aylarında güncellenmiş mikrokodları yayınladı, bunun sonrasında HPE, Sistem ROM'u güncellemeleri üzerinden kullanılabilir hale getirdi. Güncellenen mikrokodlar yeni işletim sistemiyle ve/veya halihazırda kullanılabilir duruma getirilen hiper yönetici yazılım güncellemeleriyle birleştirildiğinde, söz konusu güvenlik açıklarını azaltmaktadır.
Intel, piyasadaki bir bölümün, esasen veri merkezlerinde geleneksel sanallaştırma teknolojileri çalıştıran kurumların alt kümesinin, sahip olduğu sistemleri korumak amacıyla ilave adımlar atmasının uygun olabileceğini bildirdi. Bu adımlar, belirli hiper yönetici çekirdek programlama özelliklerini etkinleştirmek veya belirli senaryolarda hiper iş parçacığını devre dışı bırakmak olabilir. İşletim sistemi ve Hiper yönetici tedarikçilerinin tavsiyelerini alın.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
Spekülatif Depolama Atlaması Varyantları IV) CVE-2018-3639 ve Yetkisiz Kayıt Yükü (Varyant 3a) CVE-2018-3640 Güvenlik Açıkları
21 Mayıs 2018 tarihinde, modern mikroişlemci mimarisine ilişkin sektör genelinde bir güvenlik açığı açıklandı. Yeni güvenlik araştırmalarına dayanarak, bazı analiz yöntemlerinin kötü amaçlı olarak kullanıldığı durumlarda; tasarlandığı şekilde çalıştırılan bilgi işlem cihazlarında yer alan hassas bilgileri uygun olmayan biçimde toplayabilme potansiyeline sahip olduğu anlaşılmıştır. Günümüzde ise bu güvenlik açığı Spekülatif Depolama Atlaması veya Varyant 4 (CVE-2018-3639) olarak biliniyor. Her ne kadar bu güvenlik açığı ile kısa bir süre önce açıklanan Yan Kanal Analiz Yöntemi veya Spectre ve Meltdown arasında benzerlikler bulunsa da, yeni güvenlik açığı için yeni ve benzersiz tedbirler alınması gerekmektedir.
Spekülatif Depolama Atlaması veya Varyant 4 güvenlik açığı, Intel, AMD ve ARM de dahil olmak üzere birçok CPU tedarikçisine ait mikroişlemci mimarilerini etkilemektedir. İçlerinde HPE'nin de yer aldığı, sektördeki donanım ve yazılım tedarikçileri, birlikte çalışarak bu güvenlik açığını azaltmaya yönelik stratejiler geliştiriyor. Intel tabanlı ürünlerde azaltma uygulanabilmesi için hem işletim sistemi güncellemeleri hem de yeni Intel mikrokodu içeren sistem ROM'u güncellemeleri gerekmektedir. AMD tabanlı ürünler için ise yalnızca işletim sistemi güncellemesi gereklidir.
Ek olarak, 21 Mayıs 2018'de Yetkisiz Kayıt Yükü veya Varyant 3A (CVE-2018-3640) adı verilen ve saldırı yapan kişilerin işlemci kayıtlarına ulaşmasına neden olan bir başka güvenlik açığı daha ortaya çıkartıldı. Bu güvenlik açığı yalnızca Intel tabanlı ürünleri etkilemektedir. Bu güvenlik açığına karşı tedbir almak için yalnızca yeni Intel mikrokodunun bulunduğu bir sistem ROM'u güncellemesi gerekmektedir. Spekülatif Depolama Atlaması veya Varyant 4'e karşı tedbir için gerekli olan mikrokod aynı zamanda Yetkisiz Kayıt Yükü veya Varyant 3A için de azaltma sağlamaktadır.
Intel Itanium İşlemciler, Spekülatif Depolama Atlamasından (CVE-2018-3639) veya Yetkisiz Kayıt Yükünden (CVE-2018-3640) etkilenmemektedir.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
AMD İşlemci Güvenlik Açıkları (Fallout/Masterkey/Ryzenfall/Chimera)
CTS Labs 13 Mart 2018 tarihinde, bazı AMD ürünlerini etkileyen güvenlik açıklarına ilişkin yapılan bir araştırmayla ilgili bilgileri kamuya duyurdu. HPE Sunucuları bakımından incelendiğinde söz konusu güvenlik açıkları, HPE ProLiant DL385 Gen10 ve HPE Cloudline CL3150 Gen10 sunucularında kullanılan AMD EPYC 7000 Serisi işlemcilerde yer alan AMD Secure Processor'ı (PSP) etkilemekteydi. Bu potansiyel güvenlik açıklarından etkilenen başka herhangi bir HPE sunucu ürünü yoktur.
HPE, bu güvenlik açığının kapsamını belirlemek ve etkilenme riskini azaltmak için ne tür önlemler alınması gerektiğini tespit etmek üzere AMD ile birlikte çalışıyor. Neyse ki yeni HPE DL385 Gen10 ürünü, HPE Silikon Kök Güven de dahil olmak üzere tamamen yeni HPE güvenlik özellikleriyle birlikte geliyor. Bu yeni HPE teknolojisi sayesinde, bu güvenlik açığı sebebiyle oluşabilecek tipik hizmet engellenmesi veya kalıcı hizmet engellenmesi durumları engellenebiliyor.
Biz, HPE olarak AMD ile birlikte çalışarak daha fazla bilgi ediniyoruz; bilgilendirmelerimizi güncelleyeceğiz. Buna ek olarak, lütfen AMD tarafından 20 Mart'ta yapılan şu açıklamaya göz atın.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
Yan Kanal Analiz Yöntemi (Spectre & Meltdown) Mikroişlemcilerde yer alan Bilgilerin İfşa Edilmesine Sebep Oluyor (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754)
Kısa bir süre önce, spekülatif uygulamayı içeren Yan Kanal (Spectre & Meltdown) güvenlik açıkları kamuya açıklandı. Bilgilerin ifşasına ve ayrıcalıkların yükseltilmesine sebep olabilecek güvenlik açıkları, listelenen HPE ürünlerini etkileyebilir. Söz konusu güvenlik açıklarına karşı tedbir alınması ve bunların çözümlenebilmesi için hem OS tedarikçisi tarafından sunulan işletim sistemi güncellemesi hem de HPE tarafından sunulan sistem ROM'u güncellemesi gerekebilir. Intel tarafından yapılan üst seviyeli ön açıklamaya buradan ulaşılabilir.
Buna ek olarak, Yan Kanal Analizi güvenlik açığına değinmek amacıyla tasarlanan Intel mikrokod yamasına ilişkin sorunların yer aldığı ve 22 Ocak 2018 tarihinde yayımlanan Intel açıklamasına dair müşterilerimizi uyarıyoruz. Intel, güncellenmiş mikrokoda sahip HPE ProLiant, HPE Synergy, HPE Superdome Flex ve HPE Superdome X Sistem ROM'larının dağıtımının durdurulmasını ve önceki Sistem ROM'una dönülmesini önermektedir. Aşağıda verilen etki değerlendirmesi uygun şekilde güncellenmiştir. Bu konuya ilişkin ek bilgiler için lütfen HPE Müşteri Rehberi Paketi ve HPE Müşteri Önerilerine başvurun. Lütfen AMD mikrokod güncellemesine sahip HPE ProLiant DL385 Gen10'un tasarlandığı şekilde çalıştığını ve bu üründe Yan Kanal Analiz güvenlik açığına ilişkin risklerin azaltıldığını göz önünde bulundurun.
HPE Ürünleri için etki değerlendirmesine buradan ulaşılabilir
Etkilenen HPE ürünleri için yama bağlantıları burada yer almaktadır
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
Intel Management Engine (ME) ve Server Platform Services (SPS) Ürün Yazılımı Güvenlik Açığı (CVE-2017-5706/CVE-2017-5709)
Kısa bir süre önce, tedarikçilerimizden olan Intel, Sunucu Platformu Hizmetleri (SPS) ürün yazılımında potansiyel bir güvenlik açığı keşfetti. Bu güvenlik açığı Intel'e ait birkaç işlemci mimarisini etkiledi ancak HPE ürünlerinde kullanılan tüm Intel sunucu işlemcisi mimarileri etkilenmedi. Özellikle, Intel'in mimarisinde kullanılan SPS/ME ürün yazılımı fiziksel erişim kullanılarak ifşa edilebiliyordu. Bunun sonucunda, kullanıcının ve işletim sistemi yöneticisinin görebildiği ortamın dışında; SPS içerisinde doğrulanmamış bir kod yürütülebiliyordu.
Bu güvenlik açıkları HPE sunucularına özel değildir; Intel'in belirtilen işlemci mimarilerinde, etkilenen ürün yazılımı düzenlemelerini kullanan her sistemi etkileyecektir.
HPE Ürünleri için etki değerlendirmeleri HTML veya Spreadsheet olarak incelenebilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
WPA2 Anahtarı Yeniden Yükleme Saldırıları ("Krack Attack" olarak da bilinir)
Güvenlik araştırmacıları Mathy Vanhoef ve Frank Piessens, 16 Ekim 2017 tarihinde "Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2" adında bir araştırma makalesi yayınlayarak Wi-Fi Korumalı Erişim II (WPA2) sisteminde bulunan güvenlik açıklarını tanımladı. Belirli Hassas WPA2 birleşimlerinin trafiği, tek seferlik oturum anahtarının tekrar kullanılmasına sebep olacak şekilde manipüle edilebilir; bu durum kablosuz bir erişim noktası (AP) veya kablosuz istemci aracılığıyla anahtar yeniden yüklemesine neden olacaktır. Yapılan bu eylem, etkilenen AP ve kablosuz istemci aralığında yer alan saldırganın isteğe bağlı paket deşifresi, paket eklemesi, TCP bağlantı hırsızlığı ve HTTP içerik eklemesi yapmasına fırsat vermektedir.
Bu güvenlik açığı atanan CVE'ler şunlardır: CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080, CVE-2017-13081, CVE-2017-13082, CVE-2017-13084, CVE-2017-13086, CVE-2017-13087, CVE-2017-13088.
HPE Ürünleri için etki değerlendirmeleri HTML veya Spreadsheet olarak incelenebilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
Apache Struts 2 Güvenlik Açığı - (CVE-2017-9805)
Apache Struts2 içerisinde bulunan REST Eklentisi, XML yüklerini seriden paralele çevirirken Uzak Kod Yürütmesine sebep olabilecek tür filtrelemeleri olmaksızın seriden paralele çevirmek için XStream'in bir örneği olan XStreamHandler'ı kullanmaktadır. Bir saldırgan, bu hatayı kullanarak isteğe bağlı kodu yürütebilir veya gelecekte yapılacak saldırılar düzenleyebilir.
CVE-2017-9805 hakkında daha fazla bilgi almak için bkz. MITRE CVE sözlüğü ve NIST NVD.
HPE Ürünleri için etki değerlendirmeleri HTML veya Spreadsheet olarak incelenebilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
Microsoft Windows WCry/WannaCry Fidye Yazılım MS17-010 Güvenlik Açığı (CVE-2017-0143 - CVE-2017-0148)
12 Mayıs 2017 tarihinde, bilinmeyen kişilerce Microsoft Windows istemcilerine karşı bir fidye yazılım saldırısı yapılmıştır. Bu saldırı, Hizmet Engelleme saldırısının bir türü olan fidye yazılım doğrultusunda kişisel bilgisayarların ve sunucuların şifrelenmesine neden oldu. Microsoft, 14 Mart 2017 tarihinde bu güvenlik açığına ilişkin olarak MS17-010 yamasını piyasaya sundu. Bu güvenlik açığı hakkında daha fazla bilgi Microsoft'tan - MS17-010 ve NVD'den alınabilir - CVE-2017-0143, CVE-2017-0144, CVE-2017-0145, CVE-2017-0146, CVE-2017-0147, CVE-2016-0148.
HPE Ürünleri için etki değerlendirmeleri HTML veya Spreadsheet olarak incelenebilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
Intel AMT Ayrıcalık Yükseltme Güvenlik Açığı- CVE-2017-5689
Intel 1 Mayıs 2017'de, Intel işlemcilerine sahip bazı sistemlerde kullanılan Intel Yönetilebilirlik Ürün Yazılımındaki bir güvenlik açığını duyurdu. Bu güvenlik açığı, ayrıcalığa sahip olmayan ağ veya yerel saldırganının Intel Aktif Yönetim Teknolojisinin (AMT), Intel Standart Yönetilebilirlik (ISM) ve Intel Küçük İşletme Teknolojisi (SBT) platformlarının kontrolünü eline geçirmesine sebep oluyordu. Bu güvenlik açığına ilişkin daha fazla bilgiye CVE-2017-5689 üzerinden ulaşılabilir.
HPE Ürünleri için etki değerlendirmeleri HTML veya Spreadsheet olarak incelenebilir
Ek bilgiler HPE Destek Merkezinde yer almaktadır
-
Apache Struts 2 Güvenlik Açığı - CVE-2017-5638
6 Mart 2017 tarihinde Apache, Apache Struts 2'de bulunan bir güvenlik açığını duyurdu. Bu güvenlik açığı, Apache Struts 2'de kullanılan Jakarta çok parçalı ayrıştırıcı kullanılarak dosya yüklemesi yapılırken uzak kod yürütmesine sebep olmaktadır. Bu hata sebebiyle saldırgan, dosya yükleme talebinin bir kısmı olarak geçersiz bir içerik türündeki HTTP başlığını göndererek güvenlik açığı bulunan sistemde isteğe bağlı kodu yürütebilmektedir. Bu saldırıya maruz kalınması halinde, saldırgan kritik öneme sahip verileri çalabilir ve/veya etkilenen sistemin kontrolünü ele geçirebilir. Bu güvenlik açığına ilişkin daha fazla bilgiye CVE-2017-5638 üzerinden ulaşılabilir.
Ürün Etkilenme Değerlendirmesi HTML
-
Linux Çekirdekte Ayrıcalık Yükseltilmesi Güvenlik Açığı ("Dirty COW")
19 Ekim 2016 tarihinde Linux çekirdekteki bir ayrıcalık yükseltilmesi güvenlik açığı ortaya çıktı. Linux çekirdeğin bellek alt sisteminin, özel salt okunur bellek haritalamalarını üzerine yazarak kopyalama (COW) yoluyla kırdığı şekilde bir yarışma durumu tespit edildi. Bu hata, ayrıcalığa sahip olmayan yerel kullanıcıların normal durumda salt okunur olan bellek haritalamaları üzerinde yazma erişimi elde etmesine ve bu sebeple Linux çekirdek üzerindeki ayrıcalıklarını yükseltmesine neden oldu. Bu hataya "Dirty COW" denmektedir. Bu güvenlik açığına ilişkin daha fazla bilgiye CVE-2016-5195 üzerinden ulaşılabilir.
Ürün Etkilenme Değerlendirmesi HTML
-
HTTP_PROXY Ortamının Değişken Kullanımıyla İlgili Güvenlik Açığı ("FalseCONNECT")
15 Ağustos 2016'da, CONNECT yöntemi için HTTP 407 (proxy doğrulaması gereklidir) uygulamasında "FalseCONNECT" adı verilen bir güvenlik açığı ortaya çıkarıldı. Bu taleplerin HTTP yerine düz metinde yapılması sebebiyle, kullanıcı kimlik bilgilerini ifşa etmek, bazı uygulamalarda ise güvenlik bağlamında istemci DOM'unda yer alan HTML ve komut dosyalarını işlemek için kullanılacak ortadaki adam saldırısı için kolay bir hedef olabilmektedir. CONNECT yöntemi bağlamındaki 407 doğrulama başlığının eklenmesi ve kurcalanması, kullanıcıyı kimlik avı ve doğrulama derecesi düşürme saldırılarına maruz bırakabilir. Bu güvenlik açığına ilişkin daha fazla bilgiye CERT VU#905344 üzerinden ulaşılabilir.
-
PHP, Go, Python ve diğerleri için CGI uygulaması güvenlik açığı ("HTTPoxy")
18 Temmuz 2016 tarihinde, CGI ve CGI benzeri ortamlarda çalışan web sunucuları, web kapsamları ve programlama dillerine göre değişken olan HTTP_PROXY'nin idaresinde bulunan HTTPoxy adında bir güvenlik açığı duyurulmuştur. Bu güvenlik açığı, yeterli doğrulama olmaksızın değişken olan HTTP_PROXY ortamını belirlemek için kullanıcı tarafından sağlanan girişin kullanılmasından kaynaklanmaktadır. Bu güvenlik açığı, doğrulanmamış ve uzaktan saldırı yapan bir kişinin hassas verileri ifşa etmek için isteğe bağlı sunucu üzerinde ortadaki adam saldırısı (MITM) yapmasını veya giden trafiği yeniden yönlendirmesini sağlayabilir. Bu güvenlik açığına ilişkin daha fazla bilgiye CVE-HTTPoxy üzerinden ulaşılabilir.
Ürün Etkilenme Değerlendirmesi HTML
-
SSLv2 (DROWN) kullanarak TLS'ye çapraz protokol Saldırısı – CVE-2016-0800
1 Mart 2016 tarihinde, Eski ve Zayıflatılmış Şifreleme kullanarak RSA'nın Deşifresini ifade eden ve DROWN olarak adlandırılan yeni bir saldırı türü açıklandı. Bu tür, SSLv2'de bulunan bir güvenlik açığına maruz kalınmasına sebep olan ve pasif biçimde toplanmış TLS oturumlarının deşifre eden bir çapraz protokol saldırısıdır. Bu güvenlik açığına ilişkin daha fazla bilgiye CVE-2016-0800 üzerinden ulaşılabilir.
-
Glibc Getaddrinfo() Yığın Tabanlı Arabellek Taşması
28 Temmuz 2015'te ISC BIND'de yerleşik DNS ad sunucularını etkileyen bir güvenlik açığı duyuruldu. Bu güvenlik açığı, ISC BIND'yi çalıştıran ad sunucularına karşı uzaktan Hizmet Engellemeye maruz kalınmasına sebep olabiliyordu. ISC BIND TKEY sorgu kullanımı güvenlik açığına ilişkin daha fazla bilgiye CVE-2015-5477 üzerinden ulaşılabilir.
-
Intel İşlemci Güvenlik Açığı ("Memory Sinkhole" olarak da bilinir)
16 Şubat 2016 tarihinde, GNU C kitaplığında (glibc) bulunan yığın tabanlı arabellek taşma güvenlik açığı kamuya duyuruldu. Bu hata, glibc'nin getaddrinfo() kitaplık işlevinde keşfedilmiştir. Bu işlevi kullanan uygulamalar, etkilenen cihaz üzerinde uzak kod yürütmesi uygulanan saldırılara maruz kalabilir. Bu güvenlik açığına ilişkin daha fazla bilgiye NIST web sitesinden CVE-2015-7547 ulaşılabilir.
-
ISC BIND TKEY sorgu kullanımı Güvenlik Açığı - CVE-2015-5477
Genel bakış
6 Ağustos 2015'te Las Vegas'ta düzenlenen Black Hat güvenlik konferansında konuşan araştırmacı Christopher Domas, bir kişisel bilgisayarın ürün yazılımına rootkitin nasıl yüklendiğini göstermiştir. Domas bu gösterime "memory sinkhole" adını vermiştir. Söz konusu saldırı, 1990'lı yılların ortasından itibaren üretilen ve Intel Xeon İşlemcisi E5-2600'ün (ör. Sandy Bridge-EP) piyasaya çıktığı 2011 yılına kadar üretimde kalan x86 çiplerinde yer alan bir özelliği hedef alıyordu.
Bu güvenlik açığı, BIOS, EFI veya UEFI gibi önyükleme ortamlarında arabirim sağlamak amacıyla işletim sistemi tarafından kullanılan Sistem Yönetim Moduna (SMM) karşı bir saldırı yapılmasına yol açan Gelişmiş Programlanabilir Kesinti Denetleyicisi (APIC) içerisinde yer almaktadır. Saldırganlar bu güvenlik açığını kullanarak en ayrıcalıklı yürütme modlarını kullanabilir ve önyükleme ortamında bulunan güvenlik özelliklerinin üzerine yazabilir. Bu gösterimde, rootkit yüklemek için UEFI kod özellikleri kullanılmaktadır.
Olası Etki
HPE, bu durumun Kurumsal ürünlerimiz (ör. Sunucular, Depolama ve Ağ) üzerindeki olası etkisini araştırdı ve Intel'in, söz konusu tasarım hatasının Intel Xeon İşlemci E5-2600'de ve ondan sonra gelen modeldeki işlemcilerde olduğunu belirttiği için HPE Proliant Gen8 ve Gen9 serisi sunucuların bu durumdan etkilenmediğini tespit etmiştir. Lütfen Intel Xeon İşlemci E5-2600 Serisinin ProLiant Gen8 sunucularda kullanıldığını göz önünde bulundurun.
Buna ek olarak, HPE bu durumun HPE ProLiant G5, G6 ve G7 Serisi sunucular üzerindeki olası etkisini de araştırdı ve bu ürünlerin Christopher Domas'ın Black Hat güvenlik konferansında göstermiş olduğu belirli atağa karşı savunmasız olmadıklarını tespit etmiştir. Intel, bu sunuculardaki güvenlik açığının kötüye kullanılması halinde olası bir güvenlik ihlalini engelleyecek bir mikrokod güncellemesi sunmaktadır. HPE ise ek bir güvenlik tedbiri sağlamak için, HPE Destek Merkezi üzerinden müşterilere ücretsiz olarak indirilebilir şekilde sunulacak mikrokodu, güncellenen ProLiant Sistemi ROM'larında uygulamayı planlamaktadır.
Siz ne yapabilirsiniz?
Lütfen ProLiant G5, G6 ve G7 Serisi sunucular için güncellenmiş Sistem ROM'larının mevcut olup olmadığına ilişkin olarak bu sayfada yer alan güncellemeleri kontrol edin.
-
OpenSSL Alternatif Zincirler Sertifika Sahteciliği Güvenlik Açığı
9 Temmuz 2015 tarihinde, OpenSSL alternatif sertifika zincirlerinin doğrulanma yönteminde bir hata bulunduğunu duyurdu. Bu hata yalnızca Haziran 2015'e kadar sunulmuş OpenSSL versiyonlarını etkilemektedir: v1.0.2c, v1.0.2b, v1.0.1o ve v1.0.1n. Bu güvenlik açığının kötüye kullanılması halinde, saldırgan belirli sertifika doğrulama kontrollerini atlayarak geçersiz bir sertifika düzenleyebilir. VENOM güvenlik açığına ilişkin daha fazla bilgiye NIST web sitesinden CVE-2015-1793 ulaşılabilir.
-
VENOM Güvenlik Açığı - CVE-2015-3456
13 Mayıs 2015 tarihinde, birçok sanallaştırma platformu tarafından kullanılan sanal disket sürücüsü kodunda bir güvenlik açığı bulunduğu duyuruldu. Bu güvenlik açığının kötüye kullanılması halinde, saldırgan etkilenen Sanal Makine (VM) konuktan kaçabilir ve ana bilgisayarda kod yürütebilir. VENOM güvenlik açığına ilişkin daha fazla bilgiye NIST web sitesinden CVE-2015-3456 ulaşılabilir.
-
Glibc "GHOST" Güvenlik Açığı
27 Ocak 2015 tarihinde, GNU C kitaplığında (glibc) bir arabellek taşma güvenlik açığı bulunduğu kamuya duyuruldu. Bu hata, GNU C kitaplığının (glibc) gethostbyname işlev grubu içerisinde keşfedilmiştir ve isteğe bağlı kod yürütmek için kullanılabilmektedir. Bu güvenlik açığına ilişkin daha fazla bilgiye NIST web sitesinden CVE-2015-0235 ulaşılabilir.
-
SSLv3 POODLE Güvenlik Açığı - CVE-2014-3566
14 Ekim 2014'te, SSLv3 protokolünde bir güvenlik açığı bulunduğu açıklandı. Bu güvenlik açığının kötüye kullanılması halinde saldırgan, POODLE (Derecesi Düşürülmüş Eski Şifrelemede Oracle Doldurma) saldırısını kullanarak şifrelenmiş trafiğin bir bölümünü deşifre edebilmektedir. SSLv3 POODLE güvenlik açığına ilişkin daha fazla bilgiye NIST web sitesinden CVE-2014-3566 ulaşılabilir.
-
GNU Bourne Again Shell (Bash) "Shellshock" Güvenlik Açığı
24 Eylül 2014'te, Linux ve MAC OS X gibi Unix tabanlı işletim sistemlerini etkileyen bir Bash güvenlik açığı bulunduğu duyuruldu. Bu güvenlik açığının kötüye kullanılması halinde, uzaktan saldırıda bulunan kişiler etkilenen sistem üzerinde isteğe bağlı kod yürütebilmektedir. Bu konuya ilişkin daha fazla bilgiye CVE-2014-7169 üzerinden ulaşılabilir.
-
OpenSSL "Heartbleed" Güvenlik Açığı
8 Nisan 2014 tarihinde, bir OpenSSL güvenlik açığına ilişkin olarak HP'ye bilgi verildi CVE-2014-0160 ("Heartbleed" olarak bilinmektedir). Bu güvenlik açığı medyada önemli ölçüde dikkat çekti. Bu güvenlik açığını detaylı şekilde açıklayan Ulusal Güvenlik Açığı Veritabanı bağlantısı için kaynaklar kısmına göz atın. OpenSSL, belirli HP ürünlerinde şifreleme ve SSL hizmetleri sunmak amacıyla kullanılmaktadır.
Ürün Desteği
Teknik ürün desteğine HPE Destek Merkezi üzerinden ulaşılabilir.
HPE Güvenlik ve Dijital Koruma Hizmetleri