Nessus Güvenlik Açık Tespit Aracında Kritik Düzeyde Çok Sayıda Güvenlik Açığı Ortaya Çıktı

red padlock on black computer keyboard — FlyD / Unsplash

Güvenlik açıkları tespit etme aracı olan Nessus üzerinde çok sayıda güvenlik zafiyeti keşfedildi ve bu duruma maruz kalan ürünün üreticisi Tenable şirketi oldu. Şirket, tespit edilen sorunları gidermek amacıyla acil bir yazılım güncellemesi yayınladı. Yerel saat ile iki bin yirmi altı yılı Ekim ayının birinci gününde yayınlanan resmi güvenlik danışmanlığı belgesi kapsamında toplam dokuz adet farklı güvenlik açığı kamuoyuna duyuruldu. Bu güvenlik açıklarından etkilenen sürümler arasında Nessus on nokta on iki nokta dört sürümü ve bu sürümden daha önce piyasaya sürülmüş olan tüm önceki versiyonlar yer almaktadır. Kullanıcıların sistemlerini korumak adına derhal harekete geçmesi gerektiği belirtilmiştir.

Tespit edilen açıklar arasında en ciddi olanı, indirilen bazı içeriklerin doğrulanmasının yetersiz kalmasından kaynaklanan bir hatadır. Bu açık, istismar edilebilmesi için saldırganın sistem üzerinde yüksek yetkilere sahip olmasını gerektirmekle birlikte, başarılı bir saldırı durumunda sistemin tamamen ele geçirilmesine imkan tanımaktadır. Ortak Güvenlik Açığı Değerlendirme Sistemi standartlarına göre yapılan hesaplamada, bu spesifik güvenlik açığına dokuz nokta bir gibi son derece yüksek bir temel puan verilmiştir. Bu puan, söz konusu zafiyetin kritik seviyede olduğunu ve acil müdahale gerektirdiğini açıkça göstermektedir. Yetkili makamlar, bu tür yüksek puanlı açıkların ihmal edilmemesi konusunda uyarılarda bulunmaktadır.

Bunun yanı sıra, önem düzeyi yüksek olarak sınıflandırılan dört adet ek güvenlik açığı daha tespit edilmiştir. Bu açıkların ortak güvenlik açığı değerlendirme sistemi temel puanları sekiz nokta üç veya yedi nokta iki olarak hesaplanmıştır. Bu yüksek riskli açıklar arasında, düşük yetkiye sahip kullanıcıların Nessus yazılımı içinde saklanan verileri okumasına veya değiştirmesine olanak tanıyan bir SQL enjeksiyonu hatası da bulunmaktadır. Ayrıca, uzunluk değerlerindeki tutarsızlıkların uygun şekilde işlenememesinden kaynaklanan hatalar, veri tipi karışıklığına dayalı sorunlar ve bellek alanı dışına yazma işlemine izin veren kritik hatalar da tespit edilen diğer önemli güvenlik zafiyetleri arasında yer almaktadır.

Listelenenlerin dışında, önem düzeyi orta olarak belirtilen üç adet ve düşük olarak işaretlenen bir adet güvenlik açığı daha ortaya çıkarılmıştır. Üretici firma Tenable, bahsi geçen tüm güvenlik açıklarını ortadan kaldıran Nessus on nokta on iki nokta beş numaralı yeni sürümü resmi olarak yayınlamıştır. Şirket, mevcut kullanıcılarını etkilenen eski sürümleri derhal kaldırıp yeni güncellenmiş sürüme geçmeleri konusunda uyarmakta ve sistem güvenliğini sağlamak için bu adımın atılmasını şiddetle tavsiye etmektedir. Güvenlik uzmanları, otomatik güncelleme mekanizmalarının kontrol edilmesini önermektedir.