İçeriğe geç

Türkçe siber güvenlik haberleri, zafiyet takibi, rehberler ve vaka dosyaları.

RSS
Menü

IBM Aspera Faspex'te tam yönetici yetkisi veren açık saldırılarda kullanılıyor

CISA, IBM Aspera Faspex 5'teki CVE-2026-123218'i 9 Kasım'da saldırılarda kullanılan açıklar listesine (KEV) ekledi. IBM'in 7 Kasım'da yayımladığı güvenlik bültenine göre açık, özel hazırlanmış bir mesajla yetkilendirmenin atlatılmasına ve tam yönetici yetkisi alınmasına izin veriyor. Düzeltme 5.0.19 PL1 sürümünde.

Kırmızı Ekip
  • 2 dk okuma
  • 3 kaynak

Kısaca

  • IBM'in verdiği CVSS 3.1 puanı 9.8. Bültendeki açıklamaya göre saldırganın yetkili bir kullanıcı olması gerekiyor, ancak IBM'in CVSS vektöründe istismar için yetki gerekmediği belirtiliyor.
  • Açık Aspera Faspex'in 5.0.0 ile 5.0.19 arasındaki sürümlerini etkiliyor. IBM'e göre geçici bir önlem yok, düzeltme Linux için 5.0.19 PL1 sürümünde.
  • IBM ve CISA saldırıların ayrıntılarını açıklamadı. CISA federal kurumlara son tarih olarak 12 Kasım'ı verdi.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 9 Kasım’da IBM Aspera Faspex 5’teki CVE-2026-123218’i saldırılarda kullanılan açıklar listesine (KEV) ekledi. IBM, açığı iki gün önce, 7 Kasım’da yayımladığı güvenlik bülteniyle duyurmuştu. CISA, ABD federal kurumlarına açığı 12 Kasım’a kadar kapatmalarını söylüyor.

Açık

IBM’in bültenine göre Aspera Faspex 5’teki açık, yetkili bir kullanıcının özel hazırlanmış bir mesajla kullanıcı yetkilendirmesini atlatmasına ve tam yönetici yetkisi almasına izin veriyor. IBM açığı hatalı yetkilendirme (incorrect authorization, CWE-863) olarak sınıflandırıyor.

IBM’in verdiği CVSS 3.1 puanı 9.8. IBM’in CVSS vektörüne göre açık ağ üzerinden, yetki ve kullanıcı etkileşimi gerektirmeden istismar edilebiliyor ve gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratıyor. Bu vektör, bültende saldırganın yetkili ya da kimliği doğrulanmış bir kullanıcı olması gerektiğini söyleyen açıklamayla uyuşmuyor. IBM bu farkı açıklamadı.

Saldırılarda kullanım

CISA’nın KEV kaydı açığın saldırılarda kullanıldığını gösteriyor, ancak CISA ve IBM saldırıların kim tarafından, ne zamandan beri ve kime karşı yapıldığını açıklamadı. 10 Kasım sabahı itibarıyla IBM’in bülteninde saldırılara ilişkin bir bilgi yok, bültenin değişiklik geçmişinde yalnızca 7 Kasım’daki ilk yayın yer alıyor.

Etkilenen ve düzeltilmiş sürümler

  • Etkilenen sürümler: IBM Aspera Faspex 5.0.0 ile 5.0.19 arası.
  • Düzeltilmiş sürüm: Linux için IBM Aspera Faspex 5.0.19 PL1.

IBM, açığın hemen kapatılmasını ve 5.0.19 PL1’e yükseltilmesini “kesinlikle” öneriyor. Bültene göre güncellemeden sonra faspex-core konteyner imajının 5.0.19 (1ce4b13, Fix Pack: 1) olduğu doğrulanmalı. IBM’e göre açık için geçici bir önlem yok.

Kaynaklar

  1. IBM, "Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass" (7 Kasım 2026)ibm.com (başka siteye gider)
  2. CVE kaydı, CVE-2026-123218cve.org (başka siteye gider)
  3. CISA, Known Exploited Vulnerabilities Catalog, CVE-2026-123218 (9 Kasım 2026)cisa.gov (başka siteye gider)

Bu konuda