Saldırının Genel Çerçevesi
Wing FTP Server’da ortaya çıkan iki güvenlik açığı, özellikle kurumsal ve kamu altyapılarında risk oluşturuyor. CVE-2025-47813, uygulamanın UID çerezindeki uzun değerler nedeniyle yerel sunucu yolunu açığa çıkaran bilgi sızdırma zafiyetidir. Bu zafiyet, 7.4.3 ve önceki sürümleri etkiliyor. Daha kritik olan CVE-2025-47812 ise uzaktan kod yürütülmesine izin veren bir hata ve Temmuz 2025 itibarıyla aktif olarak istismar ediliyor.
Saldırı Zinciri ve Teknik Detaylar
İstismar zinciri, kimlik doğrulaması yapılmış saldırganların UID oturum çerezine uzun ve özel hazırlanmış değerler göndererek sunucu yolunu öğrenmesiyle başlıyor. Bu bilgi, sonraki aşamalarda CVE-2025-47812 zafiyetinin kullanılması için kritik öneme sahip. Saldırganlar, bu sayede kötü amaçlı Lua dosyaları indirip çalıştırabiliyor, keşif faaliyetleri yapabiliyor ve uzaktan izleme ile yönetim yazılımlarını kurabiliyorlar. Bu teknik detaylar, MITRE ATT&CK kapsamında T1210 (Exploitation of Remote Services) ve T1059 (Command and Scripting Interpreter) tekniklerine paralellik gösteriyor.
Hangi Sistemler Risk Altında?
Wing FTP Server 7.4.3 ve önceki sürümleri kullanan tüm kurumlar risk altında. Özellikle kritik altyapılar, finans sektörü, kamu kurumları ve bulut hizmet sağlayıcıları hedef olabilir. Türkiye’deki kamu ve özel sektör kuruluşlarının da bu yamaları zamanında uygulaması, ağ segmentasyonu ve olay müdahale süreçlerini güçlendirmesi önerilir.
Siber Güvenlik Ekipleri İçin Öneriler
- Wing FTP Server sürümünüzü derhal 7.4.4 veya üzeri ile güncelleyin.
- UID oturum çerezlerinin doğrulanması ve uzunluk kontrollerini uygulayın.
- EDR çözümlerinde CVE-2025-47812 ve CVE-2025-47813 için özel tespit kuralları oluşturun.
- Sunucu loglarını detaylı inceleyerek olağandışı UID çerez aktivitelerini takip edin.
- Firewall ve WAF kurallarında anormal uzunlukta çerez ve URI isteklerini engelleyin.
- Zero Trust prensipleri doğrultusunda erişim kontrollerini sıkılaştırın.
- Olay müdahale (incident response) planlarınızı bu zafiyetler için güncelleyin.
- Bulut ve konteyner ortamlarında, rastgele SSH portları ve erişim kısıtlamaları uygulayın.
Teknik Özet
- Zararlılar: Kötü amaçlı Lua dosyaları, uzaktan kod yürütme araçları.
- Hedef Sektörler: Finans, kamu, bulut hizmetleri, kritik altyapılar.
- Kullanılan Zafiyetler: CVE-2025-47813 (Bilgi Sızdırma), CVE-2025-47812 (RCE).
- Saldırı Zinciri: UID çerez manipülasyonu → Sunucu yolunun sızdırılması → RCE zafiyetinin kullanılması.
- Önerilen Savunma: Güncel yamaların uygulanması, EDR ve SIEM ile anomali tespiti, ağ segmentasyonu, MFA ve güvenli oturum yönetimi.
Bu zafiyetler, e-posta güvenliği ve fidye yazılımı saldırılarında kullanılan lateral hareket teknikleriyle birleştiğinde daha geniş çaplı tehditlere yol açabilir. Bu nedenle, kapsamlı bir güvenlik yaklaşımı benimsemek ve bulut güvenliği ile ağ segmentasyonu gibi önlemleri entegre etmek önemlidir.