K­r­i­t­i­k­ ­T­i­n­y­p­r­o­x­y­ ­K­u­s­u­r­u­ ­5­0­.­0­0­0­’­d­e­n­ ­F­a­z­l­a­ ­A­n­a­ ­B­i­l­g­i­s­a­y­a­r­ı­ ­U­z­a­k­t­a­n­ ­K­o­d­ ­Y­ü­r­ü­t­m­e­y­e­ ­A­ç­ı­y­o­r­

06 Mayıs 2024Haber odasıGüvenlik Açığı / Sunucu Güvenliği

90.310 konakçının %50’sinden fazlasının bir virüse maruz kaldığı tespit edildi. Tinyproxy hizmeti İnternette HTTP/HTTPS proxy aracındaki yama yapılmamış kritik bir güvenlik açığına karşı savunmasız olan bir dosya.

Sorun şu şekilde izlendi: CVE-2023-49606Cisco Talos’a göre, en son sürüm olan 1.10.0 ve 1.11.1 sürümlerini etkileyen, ücretsiz kullanım sonrası bir hata olarak tanımlanan CVSS, maksimum 10 üzerinden 9,8 CVSS puanı taşıyor.

Talos, “Özel hazırlanmış bir HTTP üstbilgisi, daha önce serbest bırakılan belleğin yeniden kullanımını tetikleyebilir, bu da belleğin bozulmasına ve uzaktan kod yürütülmesine yol açabilir.” söz konusu geçen hafta bir tavsiye niteliğinde. “Bir saldırganın bu güvenlik açığını tetikleyebilmesi için kimliği doğrulanmamış bir HTTP isteği yapması gerekiyor.”

Başka bir deyişle, kimliği doğrulanmamış bir tehdit aktörü özel hazırlanmış bir tehdit gönderebilir. HTTP Bağlantısı başlığı Uzaktan kod yürütülmesine neden olabilecek bellek bozulmasını tetiklemek için.

Buna göre veri Saldırı yüzeyi yönetim şirketi Censys tarafından paylaşılan bir bilgiye göre, 3 Mayıs 2024 itibarıyla halka açık internete bir Tinyproxy hizmeti sunan 90.310 ana bilgisayardan 52.000’i (~%57) Tinyproxy’nin savunmasız bir sürümünü çalıştırıyor.

Kamuya açık ana bilgisayarların çoğunluğu ABD (32.846), Güney Kore (18.358), Çin (7.808), Fransa (5.208) ve Almanya’da (3.680) bulunmaktadır.

Sorunu 22 Aralık 2023’e bildiren Talos, aynı zamanda kusur için bir kavram kanıtı (PoC) yayınladı; bu, HTTP Bağlantı bağlantılarının ayrıştırılmasıyla ilgili sorunun bir çökmeyi tetiklemek için nasıl silah haline getirilebileceğini ve bazı durumlarda, kod yürütme.

Tinyproxy’nin koruyucuları, taahhütler kümesi Hafta sonu yapılan bir açıklamada, Talos’a raporu muhtemelen “güncel olmayan bir e-posta adresine” göndermesi konusunda çağrıda bulunarak, 5 Mayıs 2024’te Debian Tinyproxy paket sorumlusu tarafından bilgilendirildiklerini ekledi.

“Hiçbir GitHub sorunu bildirilmedi ve hiç kimse söz konusu IRC sohbetinde bir güvenlik açığından bahsetmedi.” rofl0r söz konusu bir taahhütte. “Sorun Github veya IRC’de bildirilmiş olsaydı, hata bir gün içinde giderilirdi.”

Kullanıcıların, kullanıma sunuldukça en son sürüme güncelleme yapmaları önerilir. Ayrıca Tinyproxy hizmetinin halka açık internete açık olmaması da önerilir.