watchTowr Labs tarafından ortaya konan yeni Sitecore güvenlik açıkları, HTML önbellek zehirlenmesi ve uzaktan kod çalıştırma (RCE) zafiyetlerini bir zincir halinde birleştiriyor. Bu açıklar, Sitecore Experience Platform’un tam kontrolünün ele geçirilmesine olanak tanıyabilir.
Açıkların Detayları ve Etkileri
Haziran 2025’te yayımlanan yamalarla kapatılan CVE-2025-53693 ve CVE-2025-53691 numaralı açıklar, sırasıyla güvensiz yansımalar yoluyla HTML önbellek zehirlenmesi ve güvensiz serileştirme ile uzaktan kod çalıştırma risklerini barındırıyor. Temmuz 2025’te kapatılan CVE-2025-53694 ise, anonim kullanıcıların ItemService API üzerinden bilgi sızıntısı yapmasına ve önbellek anahtarlarının kaba kuvvetle açığa çıkmasına neden oluyor. Sitecore, bu açıkların başarılı sömürülmesinin uzaktan kod çalıştırma ve yetkisiz bilgi erişimine yol açabileceğini belirtiyor.
Önceki Açıklarla Bağlantı
Bu yeni bulgular, watchTowr’un Haziran ayında detaylandırdığı CVE-2025-34509, CVE-2025-34510 ve CVE-2025-34511 numaralı üç açığa dayanıyor. Bunlar arasında sabit kodlanmış kimlik bilgileri kullanımı ve kimlik doğrulama sonrası uzaktan kod çalıştırma gibi kritik zafiyetler yer alıyor.
Açık Zincirinin İşleyişi
watchTowr Labs araştırmacısı Piotr Bazydlo, ön kimlik doğrulama gerektirmeyen HTML önbellek zehirlenmesi açığı ile kimlik doğrulama sonrası RCE açığını birleştirerek, tamamen yamalanmış bir Sitecore örneğinin ele geçirilmesini sağlayan bir açık zinciri oluşturulduğunu açıkladı. Tehdit aktörü, ItemService API aracılığıyla önbellekteki HTML anahtarlarını listeleyip, bu anahtarlara kötü amaçlı HTTP önbellek zehirlenme istekleri gönderebiliyor. Ardından, CVE-2025-53691 açığını kullanarak BinaryFormatter çağrısı yoluyla zararlı kod çalıştırabiliyor.
Bazydlo, “Çok kısıtlı bir yansıma yolunu kötüye kullanarak herhangi bir HTML önbellek anahtarını zehirleyebilen bir yöntemi çağırmayı başardık. Bu, Sitecore Experience Platform sayfalarının ele geçirilmesinin kapısını açtı ve ardından kimlik doğrulama sonrası RCE açığını tetiklemek için rastgele JavaScript bırakmaya kadar ilerledi” dedi.
Daha fazla teknik detay ve güncel güvenlik haberleri için bizi Google News, Twitter ve LinkedIn üzerinden takip edebilirsiniz.