Zero Day Initiative 2023 Yılının İlk Yarısında 1000’in Üzerinde Uyarı Yayınladı
Trend Micro ZDI, birçok kullanıcıyı olumsuz etkileyebilecek çeşitli yeni sıfırıncı gün güvenlik açıkları duyurmaya devam ediyorSiber güvenlik alanında dünyanın önde gelen şirketlerinden Trend Micro, Zero Day Initiative programı kapsamında 2023 yılında birbirinden farklı 1000'in üzerinde güvenlik açığını ele alan ikaz yayınlandığını açıkladı. Bu güvenlik açıklarının bir taarruz aracına dönüştürülmesi durumunda gerçek dünyada tesirleri, tedbire maliyetinin 10 katından fazla vakit ve mali kayıp manasına geleceği belirtiliyor.Trend Micro COO'su Kevin Simzer, "Güvenlik açığı araştırmalarına ve satın alımlarına her yıl yaptığımız milyonlarca proaktif yatırım, hem müşterilerimiz hem de bir bütün olarak dal açısından milyarlarca dolar tasarruf sağlıyor. Bu ayrıyeten, dijital dünyanın güvenliğine tehdit oluşturan güvenlik açıklarının kapatılmasında büyük ehemmiyet taşıyan yamalar konusunda şirketlerin şeffaflıktan mahrum olduğuna dair telaş verici bir eğilimi belgeliyor" dedi.Trend Micro, güvenlik açıklarının ve yamaların kamuya açıklanmasını ve belgelendirilmesini yavaşlatma ya da azaltma uygulaması olan sessiz yama uygulamasına son verilmesi davetinde bulunuyor. Siber kabahatlerle çabada kıymetli bir mahzur olan bu uygulamaya büyük üreticiler ve bulut sağlayıcıları ortasında çok sık rastlanıyor.Bulut hizmetlerinde şeffaflığın yahut sürüm numaralarının olmaması risk değerlendirmesini engelliyor ve daha geniş bir güvenlik topluluğunu genel ekosistem güvenliğini artırmaya yönelik kıymetli bilgilerden yoksun bırakıyor.Trend Micro geçtiğimiz yıl, eksik ya da yanılgılı yamaların sayısının arttığı ve üreticilerin yamalarla ilgili yetkili bilgileri sade bir lisanla sunma konusunda giderek daha isteksiz davrandıkları konusunda uyarıda bulundu. O vakitten bu yana bu durum daha da berbatlaştı ve kimi şirketler yamalara gereken değeri vermeyerek müşterilerini ve kesimlerini gereksiz ve artan risklere maruz bıraktı.Bulut tabanlı hizmetleri güçlendirmek ve kullanıcıları potansiyel risklerden korumak için yamalara öncelik vermek, güvenlik açıklarını ele almak ve araştırmacılar, siber güvenlik tedarikçileri ve bulut hizmet sağlayıcıları ortasında iş birliğini teşvik etmek için acil aksiyona geçilmesi gerekiyor.Trend Micro, güvenlik açıklarına yönelik yamaların şeffaf bir formda yapılmasını teşvik ediyor ve Zero Day Initiative programı aracılığıyla kesim genelinde güvenlikle ilgili genel durumu uygunlaştırmayı amaçlıyor. Şeffaf bilgilendirme konusundaki kararlılığını sürdüren Trend Micro ZDI, bugün aşağıdakiler de dahil olmak üzere sıfırıncı gün güvenlik açıkları hakkında çeşitli ihtarlar yayınladı: ZDI-CAN-20784 Github (CVSS 9.9)
- Bu güvenlik açığı, uzaktan erişen siber saldırganların Microsoft GitHub'ın etkilenen kurulumlarında yetkilerini artırmasına imkan tanıyor. Bu güvenlik açığından yararlanmak için kimlik doğrulama gerekiyor.
- Hata, Dev-Containers yapılandırmasında bulunuyor. Uygulama, bir geliştirme konteyneri yapılandırmasında yetki işaretini mecburî kılmıyor. Bir saldırgan, yetkileri yükseltmek ve hipervizör bağlamında kod çalıştırmak için bu güvenlik açığından yararlanabiliyor.
- Bu güvenlik açığı, uzaktan erişen siber saldırganların Microsoft Azure'daki hassas bilgileri ifşa etmesine imkan tanıyor. Bir saldırganın bu güvenlik açığından yararlanabilmesi için öncelikle maksat ortamda yüksek yetkilerle kod çalıştırma yeteneğini elde etmesi gerekiyor
- Hata, sertifikaların işlenmesinde ortaya çıkıyor. Sorun, bir kaynağın yanlış denetim alanına maruz kalmasından kaynaklanıyor. Saldırgan bu güvenlik açığından yararlanarak saklanan kimlik bilgilerini ifşa ederek daha fazla tehlikeye yol açabiliyor.