Haberler

Kritik Cloudflare Zafiyeti Tüm Sitelerin %12’sini Etkiledi

Cloudflare, ücretsiz ve açık kaynaklı CDNJS’sinde bulunan ve potansiyel olarak internetteki tüm web sitelerinin %12.7’sini etkileyen kritik bir güvenlik açığını düzeltti. CDNJS, GitHub’da herkese açık 4.000’den fazla JavaScript ve CSS kitaplığıyla milyonlarca web sitesine hizmet veren dünyanın ikinici en büyük JavaScript CDN konumunda bulunuyor.

Güvenlik açığı, GitHub ve npm kullanarak Cloudflare’nin CDNJS’sine paketler yayınlamayı ve uzaktan kod yürütmeye izin veriyordu.

“ZIP Slip” Remote Code Execution

İçerik dağıtım ağları (CDN’ler), web sitelerinin büyük çoğunluğu popüler JavaScript kitaplıklarını ve CSS komut dosyalarını yüklemek için bu hizmetlere güvendiğinden, İnternet’in güvenliğini, bütünlüğünü ve kullanılabilirliğini korumada kritik bir rol oyunor. CDN’ler, ele geçirilirse saldırının birçok web sitesi, çevrimiçi mağaza ve müşterileri için büyük risk teşkil edebilir. Bu yüzden CDN’ler hacker’lar için iyi hedef olarak duruyor.

Güvenlik araştırmacısı RyotaK, cdnjs.com’u incelerken CDNJS’de olmayan kitaplıkların CDNJS’nin GitHub deposu aracılığıyla yeni kitaplığın eklenebildiğini fark etti. Sonrasında RyotaK sunucularda RCE yapılabildiğini keşfetti.

Cloudflare, Zafiyeti Gidermek İçin Bir Çok Güncelleme Yayınladı

Araştırmacı, 6 Nisan 2021’de HackerOne’ın güvenlik açığı açıklama programı aracılığıyla bu güvenlik açığını Cloudflare’a bildirdi ve Cloudflare ekibinin saatler içinde güncelleme yaptığı görüldü.

Bununla birlikte, araştırmacıya göre, CDNJS ekosisteminin karmaşıklığı nedeniyle, sonraki haftalarda farklı depolara bir dizi daha düzeltme uygulandı.

Cloudflare sözcüsü yaptığı açıklamada “Araştırmacı bize 6 Nisan’da bulguları bildirdi ve sorunu 24 saat içinde düzelttik, Ayrıca, özellikle ödül programımızı genişletirken ve zaman içinde daha halka açık hale getirirken, giderek daha fazla araştırmacının bunun gibi şeyler yayınladığını göreceğimizi belirtmek önemlidir” dedi.

Kaynak: bleepingcomputer.com

İlgili Makaleler

Bir cevap yazın

E-posta hesabınız yayımlanmayacak.

Başa dön tuşu

Reklam Engelleyici Algılandı

ÇözümPark Bilişim Portalı gönüllü bir organizasyon olup tek gelir kaynağı reklamlardır. Bu nedenle siteyi gezerken lütfen reklam engelleme eklentinizi kapatın veya Çözümpark web sitesi için izin tanımı yapın. Anlayışınız için teşekkürler.