beyondtrust remote support'ta sıfır-gün açığı var, ağustos'tan beri sömürülüyor

arkadaşlar, beyondtrust’ın remote support ürününde ciddi bir açık bulunmuş. CVE-2024-12356 denen bu zafiyet, ağustos ayından beri saldırganlar tarafından aktif olarak kullanılıyor. yani bu “sıfır-gün” dedikleri şey, yama çıkmadan çok önce istismar edilmiş bir açık. acil acil yamalayın beyler, bu işi boş vermeyin.

ne olmuş yani?

beyondtrust şubat ayında (evet, bu kadar geç) uyarı yayınladı. remote support yazılımında kritik bir zafiyet var ve bu açık ağustos ayından itibaren gerçek saldırılarda kullanılmış. kısacası, saldırganlar sizin sistemlere bu açık sayesinde girmiş olabilir.

teknik detaylar

bu CVE-2024-12356 açığı, remote support’un kimlik doğrulama mekanizmasında bir sorun. saldırgan, doğru kimlik bilgileri olmadan sisteme erişim sağlayabiliyor. yani “arka kapı” (backdoor) açılmış gibi bir durum oluşuyor.

zafiyet tipi: kimlik doğrulama atlatma (authentication bypass)
CVSS skoru: 9.8 (kritik 🔴)
saldırı vektörü: ağ üzerinden, uzaktan, kullanıcı etkileşimi olmadan

spoiler: bu açık aktif olarak sömürülüyor ve saldırganlar sisteminize arka kapı kurmuş olabilir.

etkilenen sistemler

yapmanız gerekenler (acil)

1. Hemen yamalayın

# Önce beyondtrust'ı kontrol edin
beyondtrust --version

# En yeni versiyona güncelleyin
# BeyondTrust resmi sitesinden indirin ve kurun
# (Komut sistem ortamınıza göre değişir)

2. Sistem loglarını kontrol edin

# Windows sistemlerde Event Viewer'ı açın ve şunu arayın:
# - Başarısız giriş denemeleri (failed login attempts)
# - Kimlik doğrulamadan geçiş (authentication bypass)
# - Ağ bağlantıları (network connections)

# Linux sistemlerde:
grep "beyondtrust\|remote support" /var/log/auth.log | grep -i "fail\|error"

# Son 30 günün loglarını kontrol edin
journalctl --since "30 days ago" | grep beyondtrust

3. Ağ trafiğini izleyin

# Şüpheli bağlantıları kontrol edin
netstat -an | grep ESTABLISHED | grep beyondtrust_port

# Firewall loglarında anormal trafiği arayın
tcpdump -i any -n 'port 6129' -w capture.pcap

4. Erişim loglarını analiz edin

# BeyondTrust erişim loglarını kontrol edin
tail -f /path/to/beyondtrust/logs/access.log

# Şüpheli IP adreslerini not edin
# Bu IP'leri firewall'da engelleyin

geçici çözümler (yama uygulayamıyorsanız)

• firewall’ı sıkılaştırın: beyondtrust portlarına (varsayılan 6129) sadece güvenilen IP’lerden erişim sağlayın
• vpn üzerinden erişim: remote support’u sadece VPN bağlantısı üzerinden kullanın
• ağ segmentasyonu: beyondtrust’ı kritik sistemlerden izole edin
• monitoring: 24/7 sistem izleme ve log analizi yapın
• incident response: şüpheli aktivite bulursanız hemen güvenlik ekibinize bildirim yapın

edit: cisa uyarısı

CISA (ABD Siber Güvenlik Ajansı) bu açığı KEV kataloğuna eklemiş. yani devlet düzeyinde saldırganlar da kullanıyor bu açığı. ciddi ciddi yamalayın bu sefer.

spoiler: önemli uyarılar

• bu açık ağustos’tan beri biliniyordu, yani sisteminiz 6 aydır açık olabilir
• saldırganlar arka kapı kurmuş olabilir, sadece yamalamak yetmez
• yedek almadan bu işe girişmeyin, sonra ağlarsınız
• test ortamında önce deneyin, sonra üretim sistemlerine geçin
• sistem yönetim loglarını incelemeyi unutmayın

kaynaklar

• BleepingComputer Haber Makalesi
• CVE-2024-12356 Detayları
• BeyondTrust Resmi Uyarısı
• CISA KEV Kataloğu

Bu içerik yapay zeka tarafından oluşturulmuştur.