17 Mart 2025Ravie LakshmananGüvenlik Açığı / Web Güvenliği

Apache Tomcat’ı etkileyen yakın zamanda açıklanan bir güvenlik kusuru, kamuoyunun açıklamasından sadece 30 saat sonra bir kamu kavram kanıtı (POC) piyasaya sürülmesinin ardından vahşi doğada aktif sömürü altına girmiştir.

Güvenlik açığı, CVE-2025-24813aşağıdaki sürümleri etkiler –

• Apache Tomcat 11.0.0-m1 ila 11.0.2
• Apache Tomcat 10.1.0-M1 ila 10.1.34
• Apache Tomcat 9.0.0-M1 ila 9.0.98

Belirli koşullar yerine getirildiğinde uzaktan kod yürütme veya bilgi açıklaması durumu ile ilgilidir –

• Varsayılan sunucu uygulaması için etkin yazar (varsayılan olarak devre dışı)
• Kısmi Put için Destek (varsayılan olarak etkinleştirildi)
• Kamu yüklemeleri için bir hedef URL’nin alt-yöneticisi olan güvenliğe duyarlı yüklemeler için bir hedef URL
• Yüklenen güvenliğe duyarlı dosyaların adlarının saldırgan bilgisi
• Güvenliğe duyarlı dosyalar da kısmi koyma yoluyla yükleniyor

Başarılı sömürü, kötü amaçlı bir kullanıcının güvenliğe duyarlı dosyaları görüntülemesine veya bu dosyalara bir isteği ile bu dosyalara keyfi içeriği enjekte etmesine izin verebilir.

Ayrıca, aşağıdaki tüm koşullar doğruysa, bir saldırgan uzaktan kod yürütülebilir –

• Varsayılan sunucu uygulaması için etkin yazar (varsayılan olarak devre dışı)
• Kısmi Put için Destek (varsayılan olarak etkinleştirildi)
• Uygulama, Tomcat’in Dosya Tabanlı Oturum Kalıcını Varsayılan Depolama Konumu ile kullanıyordu
• Uygulama, bir serileştirme saldırısından yararlanabilecek bir kütüphane içeriyordu

Geçen hafta yayınlanan bir danışmanlıkta, proje koruyucular söz konusu Güvenlik açığı Tomcat versiyonları 9.0.99, 10.1.35 ve 11.0.3’te çözülmüştür.

Ancak, bir bükülme ile, kırılganlık zaten vahşi doğada, Wallarm başına sömürü girişimlerini görüyor.

“Bu saldırı, Tomcat’ın varsayılan oturum kalıcılık mekanizmasını, kısmi put taleplerine verdiği desteği kullanıyor,” söz konusu.

“İstismar iki adımda çalışır: Saldırgan, PUT isteği yoluyla serileştirilmiş bir Java oturum dosyası yükler. Saldırgan, kötü amaçlı oturum kimliğini bir GET isteğinde referans alarak stajyerleştirmeyi tetikler.”

Farklı bir şekilde, saldırılar, Tomcat’ın oturum depolama dizinine yazılan ve daha sonra, kötü amaçlı oturuma işaret eden JSessionId ile bir GET isteği göndererek, daha sonra seansize edilmesi sırasında yürütülen baz64 kodlu serileştirilmiş bir Java yükü içeren bir Put Talebi göndermeyi gerektirir.

Wallarm ayrıca güvenlik açığının sömürülmesi önemsiz olduğunu ve kimlik doğrulaması gerektirmediğini belirtti. Tek ön koşul, Tomcat’in dosya tabanlı oturum depolama alanı kullanmasıdır.

“Bu istismar oturum depolamasını istismar ederken, daha büyük sorun Tomcat’te kısmi bir şekilde taşıma işlemidir, bu da herhangi bir dosyanın herhangi bir yere yüklenmesine izin verir.” “Saldırganlar yakında taktiklerini değiştirmeye, kötü niyetli JSP dosyalarını yüklemeye, yapılandırmaları değiştirmeye ve oturum depolama alanının dışındaki arka kapıları dikmeye başlayacaklar.”

Tomcat’in etkilenen sürümlerini çalıştıran kullanıcıların potansiyel tehditleri azaltmak için örneklerini mümkün olan en kısa sürede güncellemeleri tavsiye edilir.

The Game Awards’ın üzerinden birkaç gün geçti ve birçok kişi hâlâ orada yapılan büyük duyurulardan bazılarını anlıyor. En büyüklerinden biri Hideki Kamiya’nın “Clover”da yeni bir ekiple Capcom’a geri dönmesi ve bir Okami devamı yapıyor olmalarıydı. Kamiya, oyunla ve oyunun olduğundan daha büyük bir başarı elde etmesiyle ilgili sözleriyle ünlü. Şimdi diziyle ikinci şansını yakalayacak ve pek çok kişi bu konuda heyecanlı.

Ancak bir şekilde web sitesinde özel haberCapcom, “hareketsiz IP’leri” geri getireceğini doğruladı:

Capcom, her yıl düzenli olarak yeni oyunlar yayınlamanın yanı sıra, yakın zamanda yeni bir oyun piyasaya sürülmemiş, atıl durumdaki IP’leri yeniden etkinleştirmeye odaklanıyor. Şirket, sürekli olarak yüksek verimli, yüksek kaliteli başlıklar üretmek amacıyla, yukarıda açıklanan iki başlık gibi geçmiş fikri mülkiyetlerin yeniden canlandırılmasını da içeren zengin içerik kitaplığından yararlanarak kurumsal değeri daha da artırmak için çalışıyor.

Açıkçası, bu tarife uyabilecek çok sayıda fikri mülkiyet var. As Avukat, Mega Man, DarkStalkers, MVCve çok daha fazlası! Yayıncı son zamanlarda büyük bir ivme yakaladı, bu nedenle bu momentumdan faydalanmaları ve harika oyunlar yapmaya devam etmeleri gerekiyor.

Rebecca Hall, Woody Allen’ın filminde çalışmaktan duyduğu pişmanlığı dile getirdiğinde geriye dönüp bakıyor New York’ta Yağmurlu Bir Gün.

Hall, 2018’de Allen’ın filminde küçük bir rol oynadı. New York’ta Yağmurlu Bir GünTimothée Chalamet, Jude Law ve Elle Fanning’in de rol aldığı filmde. Allen’ın kızı Dylan Farrow’un onu çocukken kendisine cinsel tacizde bulunmakla suçlaması ve kadınların Harvey Weinstein’a yönelik cinsel taciz iddialarıyla öne çıkmasının ardından Hall, filmde rol alma kararından pişman olduğunu söyledi. Instagram gönderisinde “Sadece bu meselenin ne kadar karmaşık olduğunu değil, aynı zamanda eylemlerimin başka bir kadının susturulmuş ve dışlanmış hissetmesine neden olduğunu da görüyorum” diye yazdı. “Bu karardan pişmanım ve bugün aynı kararı vermezdim.”

İle yapılan bir röportajda Gardiyan Pazar günü yayınlanan bir röportajda oyuncuya bu yorumlar hakkında şimdi ne hissettiği soruldu.

“Bununla mücadele ediyorum. Herhangi bir konuda kamuoyuna açıklama yapmak bana pek benzemiyor. Ben bir şeyler yapıyorum, bu şekilde politik davranıyorum. Kendimi ‘aktör-vizör’ olarak görmüyorum, o kişi değilim. Ve bu açıklamayı yaptığım için biraz pişmanım çünkü bu durumla ilgili konuşmanın oyuncularının sorumluluğunda olduğunu düşünmüyorum” dedi Hall.

Film çektiğini ve “dışarıda Jude Law’la bir sokak sahnesi çektiğini ve benim diyaloğumun kelimenin tam anlamıyla ‘Bu kahrolası 15 yaşındaki çocuklarla yatmayı bırakmalısın’ olduğunu hatırladı. Ve o gün Weinstein skandalı patlak verir. Orada bir grup gazeteci ve paparazzi var çünkü Weinstein bu işin yapımcısı ve hepsi de benim bunu söylerken dinliyor.”

Filmle ilgili her röportajın Allen ve Weinstein etrafında yoğunlaşması Hall’u “karmaşa içinde” bıraktı. “Şu anda en önemli şey kadınlara inanmak gibi. Evet, elbette bu hikayelerde karmaşıklıklar ve nüanslar olacak ama biz burada bir dengeyi düzeltiyoruz. Bu yüzden kesin bir şey yapmak istediğimi hissettim” dedi.

Hall maaşını Time’s Up Yasal Savunma Fonu’na bağışladı. “Ama öyle oldu ki, ‘bir kişi daha Woody Allen’ı suçluyor ve onunla çalışmaktan pişman oluyor’ ki aslında bunu söylemedim. Onunla çalıştığım için pişman değilim. Bana harika bir iş fırsatı verdi ve bana karşı nazikti” dedi Hall.

Kendisi şunu ekledi: “Onunla artık konuşmuyorum ama bu konuda yargıçlık ve jürilik yapanların biz olmamız gerektiğini düşünmüyorum.”

Bunun şimdi gerçekleşmesi durumunda nasıl tepki vereceği sorulduğunda Hall şöyle dedi: “Hiçbir şey söylemem; benim politikam aslında sanatçı olmaktır. Dışarı çıkıp bu kadar çok şey söylemeyin. Bunun beni kayıtsız ya da ilgisiz kıldığını düşünmüyorum. Bunun benim işim olduğunu düşünüyorum.”

O zaman, New York’ta Yağmurlu Bir Gün aktör Griffin Newman ayrıca filmdeki maaşını Tecavüz, İstismar ve Ensest Ulusal Ağı olan RAINN’e bağışladı. Aynı ay yönetmen Kevin Smith, Harvey Weinstein tarafından desteklenen filmlerden kalanları, eğlence sektöründe kadınları savunan kar amacı gütmeyen Women in Film kuruluşuna bağışladı.

Chalamet maaşını üç hayır kurumuna bağışladı: Time’s Up, New York’taki LGBT Merkezi ve RAINN.