Trend Micro ZDI, birçok kullanıcıyı olumsuz etkileyebilecek çeşitli yeni sıfırıncı gün güvenlik açıkları duyurmaya devam ediyor
Siber güvenlik alanında dünyanın önde gelen şirketlerinden Trend Micro, Zero Day Initiative programı kapsamında 2023 yılında birbirinden farklı 1000’in üzerinde güvenlik açığını ele alan uyarı yayınlandığını açıkladı. Bu güvenlik açıklarının bir saldırı aracına dönüştürülmesi durumunda gerçek dünyada etkileri, önleme maliyetinin 10 katından fazla zaman ve mali kayıp anlamına geleceği belirtiliyor.
Trend Micro COO’su Kevin Simzer, “Güvenlik açığı araştırmalarına ve satın alımlarına her yıl yaptığımız milyonlarca proaktif yatırım, hem müşterilerimiz hem de bir bütün olarak sektör açısından milyarlarca dolar tasarruf sağlıyor. Bu ayrıca, dijital dünyanın güvenliğine tehdit oluşturan güvenlik açıklarının kapatılmasında büyük önem taşıyan yamalar konusunda şirketlerin şeffaflıktan yoksun olduğuna dair endişe verici bir eğilimi belgeliyor” dedi.
Trend Micro, güvenlik açıklarının ve yamaların kamuya açıklanmasını ve belgelendirilmesini yavaşlatma ya da azaltma uygulaması olan sessiz yama uygulamasına son verilmesi çağrısında bulunuyor. Siber suçlarla mücadelede önemli bir engel olan bu uygulamaya büyük üreticiler ve bulut sağlayıcıları arasında çok sık rastlanıyor.
Bulut hizmetlerinde şeffaflığın veya sürüm numaralarının olmaması risk değerlendirmesini engelliyor ve daha geniş bir güvenlik topluluğunu genel ekosistem güvenliğini artırmaya yönelik değerli bilgilerden mahrum bırakıyor.
Trend Micro geçtiğimiz yıl, eksik ya da hatalı yamaların sayısının arttığı ve üreticilerin yamalarla ilgili yetkili bilgileri sade bir dille sunma konusunda giderek daha isteksiz davrandıkları konusunda uyarıda bulundu. O zamandan bu yana bu durum daha da kötüleşti ve bazı şirketler yamalara gereken önemi vermeyerek müşterilerini ve sektörlerini gereksiz ve artan risklere maruz bıraktı.
Bulut tabanlı hizmetleri güçlendirmek ve kullanıcıları potansiyel risklerden korumak için yamalara öncelik vermek, güvenlik açıklarını ele almak ve araştırmacılar, siber güvenlik tedarikçileri ve bulut hizmet sağlayıcıları arasında iş birliğini teşvik etmek için acil eyleme geçilmesi gerekiyor.
Trend Micro, güvenlik açıklarına yönelik yamaların şeffaf bir şekilde yapılmasını teşvik ediyor ve Zero Day Initiative programı aracılığıyla sektör genelinde güvenlikle ilgili genel durumu iyileştirmeyi amaçlıyor. Şeffaf bilgilendirme konusundaki kararlılığını sürdüren Trend Micro ZDI, bugün aşağıdakiler de dahil olmak üzere sıfırıncı gün güvenlik açıkları hakkında çeşitli uyarılar yayınladı:
ZDI-CAN-20784 Github (CVSS 9.9)
- Bu güvenlik açığı, uzaktan erişen siber saldırganların Microsoft GitHub’ın etkilenen kurulumlarında yetkilerini artırmasına olanak tanıyor. Bu güvenlik açığından yararlanmak için kimlik doğrulama gerekiyor.
- Hata, Dev-Containers yapılandırmasında bulunuyor. Uygulama, bir geliştirme konteyneri yapılandırmasında yetki işaretini zorunlu kılmıyor. Bir saldırgan, yetkileri yükseltmek ve hipervizör bağlamında kod çalıştırmak için bu güvenlik açığından yararlanabiliyor.
ZDI-CAN-20771 Microsoft Azure (CVSS 4.4)
- Bu güvenlik açığı, uzaktan erişen siber saldırganların Microsoft Azure’daki hassas bilgileri ifşa etmesine olanak tanıyor. Bir saldırganın bu güvenlik açığından yararlanabilmesi için öncelikle hedef ortamda yüksek yetkilerle kod çalıştırma yeteneğini elde etmesi gerekiyor
- Hata, sertifikaların işlenmesinde ortaya çıkıyor. Sorun, bir kaynağın yanlış kontrol alanına maruz kalmasından kaynaklanıyor. Saldırgan bu güvenlik açığından yararlanarak saklanan kimlik bilgilerini ifşa ederek daha fazla tehlikeye yol açabiliyor.
Trend Micro ZDI tarafından yayınlanan uyarıların tam listesi için https://www.zerodayinitiative.com/advisories/published/ adresini ziyaret edebilirsiniz.
Trend Micro ZDI, bilgiler kamuya açıklanmadan önce ele alınmak üzere etkilenen üreticilere bildirilebilen meşru bir şekilde güvenlik açığı araştırmaları satın alarak saldırganları engellemeye odaklanan güvenlik açığı pazarına öncülük ediyor.