ManageEngine’in ServiceDesk Plus ürününde, URL yollarındaki aşırı izin verici regex kurallarından kaynaklanan ve kimliği doğrulanmış düşük ayrıcalıklı bir kullanıcının yönetici dâhil herhangi bir hesabın kontrolünü ele geçirmesine yol açabilen ciddi bir güvenlik açığı (CVE-2025-8309) tespit edildi. Zafiyet “Yüksek” şiddette değerlendiriliyor.
Ne oluyor?
URL eşleştirmesinde kullanılan hatalı regex ler, joker karakterlerle servletpath yanlış eşleşmesine neden olabiliyor. Bu da düşük ayrıcalıklı bir hesabı ele geçiren saldırganın, hesap devralma (account takeover) yapmasına kapı aralıyor. Sonuçları arasında veri ifşası ve yetkisiz işlemler bulunuyor.
Zafiyet içeren sürümler ve önerilen hedef sürümler
Mevcut sürüm: 15100 ve altı > Güvenli sürüm: 15110
Mevcut sürüm: 14900 – 14980 > Güvenli sürüm: 14990
Mevcut sürüm: 14800 – 14860 > Güvenli sürüm: 14870
Not: Sürümünüz bu hedef sürümlerden birindeyse, bu açık için ek işlem gerekmez. Daha eski sürümlerdeyseniz yükseltme önerilir.
14200–14850 aralığındaki kurulumlar için üreticinin paylaştığı geçici düzeltme de uygulanabilir:
paketten security-publicaccess.xml dosyasını alıp <sdp_home>/webapps/ROOT/WEB-INF/security yolundaki dosyayla değiştirin; ardından uygulamayı yeniden başlatın.
Referans:
https://www.manageengine.com/products/service-desk/on-premises/readme-new.html
