Adobe, ColdFusion ve Commerce dahil 10 üründe yaklaşık 140 açığı kapattı

Adobe, 13 Ekim'de 10 ürünü kapsayan ve yaklaşık 140 güvenlik açığını gideren 10 güvenlik bülteni yayımladı. SecurityWeek'in aktardığına göre güncellemeler arasında ColdFusion ve Adobe Commerce'teki kritik kod çalıştırma açıkları da bulunuyor. Şirket açıkların herhangi birinin aktif olarak istismar edildiğinden haberdar olmadığını açıkladı; ancak etkilenen sunucu ürünleri geçmişte saldırganların sık hedeflediği yazılımlar arasında yer alıyor.

Neler oldu?

SecurityWeek'e göre en kapsamlı düzeltme paketi Adobe ColdFusion için çıktı. APSB26-144 bülteniyle ColdFusion'da kod çalıştırma ve yetki yükseltmeye imkân veren kritik açıklar dahil 32 açık giderildi. Content Credentials SDK'da ise çoğu yüksek önem derecesinde olan ve güvenlik özelliklerinin atlatılmasına yol açabilen 30 açık kapatıldı; bunların bir kısmı hizmet engelleme amacıyla da kullanılabiliyor.

Adobe Photoshop'ta neredeyse tamamı keyfi kod çalıştırmaya izin veren 18 açık, Substance 3D Stager'da ise çoğu yüksek önem derecesindeki kod çalıştırma hatalarından oluşan 16 açık düzeltildi. Adobe Commerce'te kimlik doğrulaması olmadan kod çalıştırmak veya yetki yükseltmek için istismar edilebilen birkaç kritik açık dahil 11 açık kapatıldı. FrameMaker, Dimension, Substance 3D Sampler, Substance 3D Designer ve Bridge'de de kod çalıştırmaya imkân veren birkaç açık giderildi.

Teknik detaylar

SecurityWeek'in haberine göre bültenlerin çoğu, Adobe'nin saldırı beklemediği anlamına gelen 3 öncelik derecesini taşıyor. Öncelik 2 verilen tek ürün, geçmişte tehdit aktörlerinin hedefi olmuş Adobe Commerce. Bulguların önemli bir kısmı dış araştırmacılara atfedildi. Adobe, açık bulmak için öncü yapay zekâ modellerinden de yararlandığını, bunun açık sayısındaki artışı kısmen açıkladığını ve yapay zekâ destekli tüm kod değişikliklerinin mühendislerce incelenip onaylandığını belirtti.

SecurityWeek'e göre şirket, aylık bülten takviminden vazgeçerek her ayın ikinci ve dördüncü salı günleri olmak üzere ayda iki kez güvenlik bülteni yayımlamaya geçti.

Kimler etkileniyor?

En büyük risk, internete açık oldukları ve bazıları kimlik doğrulaması gerektirmeyen kritik açıklar içerdikleri için ColdFusion sunucuları ile Adobe Commerce veya Magento tabanlı e-ticaret siteleri işleten kurumlar için söz konusu. Photoshop, Substance 3D araçları, FrameMaker, Dimension ve Bridge kullanan tasarım ekipleri ise esas olarak açıldığında kod çalıştırabilecek zararlı dosyalar yoluyla risk altında.

Ne yapmalı?

Yöneticilerin kesin düzeltilmiş sürümler ve CVE kimlikleri için Adobe'nin güvenlik bültenleri sayfasını incelemesi, internete açık ColdFusion ve Adobe Commerce kurulumlarını öncelikli olarak güncellemesi gerekiyor. Masaüstü kullanıcıları güncellemeleri Creative Cloud uygulaması üzerinden yüklemeli ve güncelleme tamamlanana kadar güvenilmeyen proje ya da görsel dosyalarını açmaktan kaçınmalı. Adobe artık ayda iki kez bülten yayımladığı için yama yönetimi ekiplerinin takvimlerini ayın ikinci ve dördüncü salı günlerini kapsayacak şekilde güncellemesi önerilir.