salesforce agentforce'ta salesbleed denen bela: sıfır-tıkla veri çalınması

arkadaşlar, salesforce agentforce’ta 3 tane ciddi açık bulunmuş ve bunlar sayesinde saldırganlar hiçbir tıklama gerektirmeden (zero-click diyorlar buna) sizin trusted agent’larınızı ele geçirebiliyor. verilerinizi çalabiliyor, phishing saldırıları başlatabiliyor. kısacası, eğer salesforce kullanıyorsanız, şu anda bu haberi okuduğunuz saniye içinde harekete geçmeniz lazım.

ne olmuş ki bu kadar acele?

salesforce agentforce’ta bulunan bu üç zafiyet kombinasyonu sayesinde saldırganlar:

1. trusted agent’ları ele geçiriyor - yani sizin otomatik sistemlerinizi kendi kontrollerine alıyor
2. sıfır-tıkla veri exfiltration - kurban hiçbir şey yapmasa bile veriler çalınıyor
3. phishing saldırıları başlatıyor - trusted agent’ınızın adıyla kimlik avı yapıyor

bu kombinasyon tehlikeli çünkü kurbanın hiçbir eylemi yok. sadece sistem çalışıyor, arka planda veriler gidiyor.

teknik detaylar (kısaca)

salesforce agentforce’taki bu açıklar, agent’ların güvenilir olarak işaretlenmesi ve input validation’da zayıflıklar nedeniyle ortaya çıkmış. saldırganlar:

• authentication bypass yapabiliyor - yani giriş yapma işlemini atlatıyor
• unauthorized data access - yetkisiz veri erişimi yapabiliyor
• malicious command injection - kötü niyetli komutlar enjekte edebiliyor

spoiler: bu açıklar aktif olarak sömürülüyor olabilir. bu yüzden gecikme yapmayın.

etkilenen sistemler

yapmanız gerekenler (acil)

1. önce durumu kontrol edin

# Salesforce ortamınızda agent'ları listeleyin
# (Salesforce Admin Console'dan)
# Setup > Agentforce > Agents

# Aktif agent'ları ve son aktivitelerini kontrol edin
# Şüpheli aktiviteler var mı diye bakın

2. hemen yamalayın

• salesforce’tan en son security patch’i indirin ve uygulayın
• agentforce’u disable edin (eğer acil yamalamıyorsanız)
• tüm agent’ların permission’larını review edin

3. audit loglarını kontrol edin

# Salesforce'ta şu tarihlerde şüpheli aktivite var mı diye bakın:
# - Beklenmedik data export'lar
# - Agent tarafından yapılan garip işlemler
# - Login attempt'ler (başarısız/başarılı)
# - Credential değişiklikleri

4. parola sıfırlayın

• tüm admin account’ları
• agentforce’a bağlı servis account’ları
• API key’leri rotate edin

5. şüpheli aktiviteyi araştırın

# Salesforce Audit Trail'de kontrol edin:
# 1. Son 30 günü gözden geçirin
# 2. Beklenmedik data access'ler
# 3. Yeni user/permission atamaları
# 4. API call'ları

geçici çözümler (eğer hemen yamalamıyorsanız)

• agentforce’u tamamen disable edin - işler durur ama güvenli olur
• agent’ların external access’ini kesin - sadece internal kullanıma kısıtlayın
• IP whitelisting yapın - sadece bilinen IP’lerden erişim izni verin
• MFA (multi-factor authentication) zorunlu kılın tüm account’lara
• network segmentation yapın - agent’ları izole edin

edit: cisa ve salesforce’un açıklaması

salesforce bu açıkları “salesbleed” olarak adlandırmış ve cisa da eklemiş kataloguna. vendor’un tarafından patch’ler yayınlanmış durumda. hemen güncelleyin.

edit 2: şüpheli aktivite bulursanız

• derhal incident response team’inizi devreye sokun
• dış güvenlik firması çağırın (forensics için)
• etkilenen müşteri ve partner’ları bilgilendirin
• legal ve compliance team’i haberdar edin

kaynaklar

• SecurityWeek - SalesBleed Flaws
• Salesforce Security Advisory
• CISA Alerts

son söz: arkadaşlar, bu tip zero-click açıklar işin en kötüsü. kurban hiçbir şey yapmasa bile veriler gidiyor. eğer salesforce kullanıyorsanız, şu anda action almadıysanız, lütfen alın. yedek almadan yapmayın, test ortamında deneyin önce, sonra production’a geçin. sorularınız olursa, security team’inize danışın.

Bu içerik yapay zeka tarafından oluşturulmuştur.