Trend Micro ZDI, birçok kullanıcıyı olumsuz etkileyebilecek çeşitli yeni sıfırıncı gün güvenlik açıkları duyurmaya devam ediyor
Siber güvenlik alanında dünyanın önde gelen şirketlerinden Trend Micro, Zero Day Initiative programı kapsamında 2023 yılında birbirinden farklı 1000’in üzerinde güvenlik açığını ele alan ikaz yayınlandığını açıkladı. Bu güvenlik açıklarının bir atak aracına dönüştürülmesi durumunda gerçek dünyada tesirleri, tedbire maliyetinin 10 katından fazla vakit ve mali kayıp manasına geleceği belirtiliyor.
Trend Micro COO’su Kevin Simzer, “Güvenlik açığı araştırmalarına ve satın alımlarına her yıl yaptığımız milyonlarca proaktif yatırım, hem müşterilerimiz hem de bir bütün olarak kesim açısından milyarlarca dolar tasarruf sağlıyor. Bu ayrıyeten, dijital dünyanın güvenliğine tehdit oluşturan güvenlik açıklarının kapatılmasında büyük ehemmiyet taşıyan yamalar konusunda şirketlerin şeffaflıktan mahrum olduğuna dair telaş verici bir eğilimi belgeliyor” dedi.
Trend Micro, güvenlik açıklarının ve yamaların kamuya açıklanmasını ve belgelendirilmesini yavaşlatma ya da azaltma uygulaması olan sessiz yama uygulamasına son verilmesi davetinde bulunuyor. Siber kabahatlerle çabada kıymetli bir mahzur olan bu uygulamaya büyük üreticiler ve bulut sağlayıcıları ortasında çok sık rastlanıyor.
Bulut hizmetlerinde şeffaflığın yahut sürüm numaralarının olmaması risk değerlendirmesini engelliyor ve daha geniş bir güvenlik topluluğunu genel ekosistem güvenliğini artırmaya yönelik kıymetli bilgilerden yoksun bırakıyor.
Trend Micro geçtiğimiz yıl, eksik ya da yanılgılı yamaların sayısının arttığı ve üreticilerin yamalarla ilgili yetkili bilgileri sade bir lisanla sunma konusunda giderek daha isteksiz davrandıkları konusunda uyarıda bulundu. O vakitten bu yana bu durum daha da berbatlaştı ve birtakım şirketler yamalara gereken değeri vermeyerek müşterilerini ve kesimlerini gereksiz ve artan risklere maruz bıraktı.
Bulut tabanlı hizmetleri güçlendirmek ve kullanıcıları potansiyel risklerden korumak için yamalara öncelik vermek, güvenlik açıklarını ele almak ve araştırmacılar, siber güvenlik tedarikçileri ve bulut hizmet sağlayıcıları ortasında iş birliğini teşvik etmek için acil harekete geçilmesi gerekiyor.
Trend Micro, güvenlik açıklarına yönelik yamaların şeffaf bir biçimde yapılmasını teşvik ediyor ve Zero Day Initiative programı aracılığıyla dal genelinde güvenlikle ilgili genel durumu güzelleştirmeyi amaçlıyor. Şeffaf bilgilendirme konusundaki kararlılığını sürdüren Trend Micro ZDI, bugün aşağıdakiler de dahil olmak üzere sıfırıncı gün güvenlik açıkları hakkında çeşitli ikazlar yayınladı:
ZDI-CAN-20784 Github (CVSS 9.9)
- Bu güvenlik açığı, uzaktan erişen siber saldırganların Microsoft GitHub’ın etkilenen kurulumlarında yetkilerini artırmasına imkan tanıyor. Bu güvenlik açığından yararlanmak için kimlik doğrulama gerekiyor.
- Hata, Dev-Containers yapılandırmasında bulunuyor. Uygulama, bir geliştirme konteyneri yapılandırmasında yetki işaretini zarurî kılmıyor. Bir saldırgan, yetkileri yükseltmek ve hipervizör bağlamında kod çalıştırmak için bu güvenlik açığından yararlanabiliyor.
ZDI-CAN-20771 Microsoft Azure (CVSS 4.4)
- Bu güvenlik açığı, uzaktan erişen siber saldırganların Microsoft Azure’daki hassas bilgileri ifşa etmesine imkan tanıyor. Bir saldırganın bu güvenlik açığından yararlanabilmesi için öncelikle amaç ortamda yüksek yetkilerle kod çalıştırma yeteneğini elde etmesi gerekiyor
- Hata, sertifikaların işlenmesinde ortaya çıkıyor. Sorun, bir kaynağın yanlış denetim alanına maruz kalmasından kaynaklanıyor. Saldırgan bu güvenlik açığından yararlanarak saklanan kimlik bilgilerini ifşa ederek daha fazla tehlikeye yol açabiliyor.
Trend Micro ZDI, bilgiler kamuya açıklanmadan evvel ele alınmak üzere etkilenen üreticilere bildirilebilen legal bir halde güvenlik açığı araştırmaları satın alarak saldırganları engellemeye odaklanan güvenlik açığı pazarına öncülük ediyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
