Zero Day Initiative, 1'ün ilk yarısında 2023'den fazla güvenlik açığı raporu yayınladı. Güvenlik açıkları arasında kritik Microsoft sıfır günleri vardır. Zero Day Initiative Trend Micro'nun başlatıcısı, giderek daha fazla sayıda hatalı veya eksik yama konusunda uyarıda bulunuyor.
Dünyanın önde gelen siber güvenlik çözümleri sağlayıcılarından biri olan Trend Micro, Zero Day Initiative'in (ZDI) bu yıl BT ürünlerindeki bireysel güvenlik açıkları hakkında şimdiden 1.000'den fazla öneri yayınladığını duyurdu. Bu arka plana karşı şirket, hatalı veya eksik yamaların giderek daha sık yayınlandığı veya etkilenen üreticilerin bunları gizlice dağıttığı konusunda uyarıda bulunuyor.
Sessiz yama, güvenlik açıklarını gizler
Trend Micro, güvenlik açıklarının ve yamaların ifşa edilmesini ve belgelenmesini geciktiren veya önemsiz gösteren bir uygulama olan "sessiz yama" uygulamasına son verilmesini savunuyor. Siber suçla mücadelenin önündeki en büyük engellerden biri olan bu yöntem, özellikle büyük sağlayıcılar ve bulut sağlayıcıları arasında yaygın.
“Zero Day Initiative, güvenlik açıklarını siber suçlular tarafından kullanılmadan önce kapatmak için kuruldu. Trend Micro İş Danışmanı Richard Werner, bu tür önlemlere duyulan ihtiyacın Avrupa Birliği'nde yeni NIS2 direktifiyle daha da vurgulandığını belirtiyor. "Ancak, satıcı yamalarıyla ilişkili güvenlik açıklarının ifşasında şeffaflık eksikliği konusunda endişe verici bir eğilim görüyoruz. Bu, müşterileri kendi ek önlemlerini alma fırsatından mahrum bıraktığı için dijital dünyanın BT güvenliği için bir tehdit oluşturuyor.”
Birçok bulut sağlayıcı, sessiz düzeltme ekine güvenir
Black Hat USA 2023 güvenlik konferansında Trend Research temsilcileri, sessiz yama uygulamalarının özellikle bulut sağlayıcıları arasında yaygın olduğunu gösterdi. Bunlar, izlenebilir belgelere olanak tanıyan bir Ortak Güvenlik Açıkları ve Etkilenmeler (CVE) Kimliği atamaktan giderek daha fazla kaçınıyor ve bunun yerine halka açık olmayan süreçlerde yamalar yayınlıyor. Bulut hizmetleri için şeffaflığın veya sürüm numaralarının olmaması, risk değerlendirmesini engeller ve güvenlik topluluğunu ekosistem genelinde güvenliği iyileştirmek için değerli bilgilerden mahrum bırakır.
Daha geçen yıl Trend Micro, artan sayıda eksik veya hatalı yamalar ve satıcıların yamalar hakkında basit bir dille güvenilir bilgi sağlama konusunda artan isteksizliği konusunda uyarıda bulundu. Bu arada, bazı şirketlerin yama uygulamalarını tamamen ihmal etmesiyle bu eğilim yoğunlaştı. Sonuç olarak, müşterileri ve tüm endüstriler önlenebilir ve artan risklere maruz kalmaktadır. Bu nedenle, bulut tabanlı hizmetleri güçlendirmek ve kullanıcıları potansiyel risklerden korumak için yamalara öncelik vermek, güvenlik açıklarını düzeltmek ve araştırmacılar, siber güvenlik satıcıları ve bulut hizmeti sağlayıcıları arasında işbirliğini teşvik etmek için acil bir eyleme ihtiyaç vardır.
1.000 listesinde 2023'den fazla güvenlik açığı
Trend Micro, ZDI programı ile güvenlik açıklarının şeffaf bir şekilde yamalanmasını ve sektör genelinde güvenliğin iyileştirilmesini taahhüt eder. Bu taahhüdün bir parçası olarak, Zero Day Initiative yakın zamanda birkaç sıfır gün güvenlik açığına ilişkin bildirimler yayınladı. Bir Trend Micro Zero Day Initiative (ZDI) tarafından yayınlanan güvenlik açığı önerilerinin tam listesi İngilizce olarak mevcuttur girişimin web sitesinde. İşte CVSS değeri 9.9 veya 9.8 olan güvenlik açıklarından bir alıntı. Zero Day Initiative web sitesindeki liste, CVSS değeri 1.000 ila 9.1 olan 2.5'den fazla diğer güvenlik açığını listeler.
CVSS 39 ve 9.9 ile 9.8 güvenlik açığından alıntı
| ZDI Kimliği | ETKİLENEN SATICI(LAR) | CVE | CVSS v3.0 |
| ZDI-23-1044 | Microsoft | 9.9 | |
| ZDI-23-055 | VMware | CVE-2022-31702 | 9.8 |
| ZDI-23-093 | kaktüs | CVE-2022-46169 | 9.8 |
| ZDI-23-094 | nettalk | CVE-2022-43634 | 9.8 |
| ZDI-23-115 | VMware | CVE-2022-31706 | 9.8 |
| ZDI-23-118 | Kehanet | CVE-2023-21838 | 9.8 |
| ZDI-23-168 | SolarWinds | CVE-2022-47506 | 9.8 |
| ZDI-23-175 | Kehanet | CVE-2023-21890 | 9.8 |
| ZDI-23-228 | Ivanti | CVE-2022-44574 | 9.8 |
| ZDI-23-233 | Kağıt kesiği | CVE-2023-27350 | 9.8 |
| ZDI-23-444 | Schneider Electric | CVE-2023-29411 | 9.8 |
| ZDI-23-445 | Schneider Electric | CVE-2023-29412 | 9.8 |
| ZDI-23-452 | TP-Link | CVE-2023-27359 | 9.8 |
| ZDI-23-482 | VMware | CVE-2023-20864 | 9.8 |
| ZDI-23-490 | KeySight | CVE-2023-1967 | 9.8 |
| ZDI-23-587 | Trend Micro | CVE-2023-32523 | 9.8 |
| ZDI-23-588 | Trend Micro | CVE-2023-32524 | 9.8 |
| ZDI-23-636 | Schneider Electric | CVE-2022-42970 | 9.8 |
| ZDI-23-637 | Schneider Electric | CVE-2022-42971 | 9.8 |
| ZDI-23-672 | Delta Elektronik | CVE-2023-1133 | 9.8 |
| ZDI-23-674 | Delta Elektronik | CVE-2023-1140 | 9.8 |
| ZDI-23-679 | Delta Elektronik | CVE-2023-1136 | 9.8 |
| ZDI-23-680 | Delta Elektronik | CVE-2023-1139 | 9.8 |
| ZDI-23-681 | Delta Elektronik | CVE-2023-1145 | 9.8 |
| ZDI-23-683 | Delta Elektronik | CVE-2023-1133 | 9.8 |
| ZDI-23-687 | Standart | 9.8 | |
| ZDI-23-690 | Standart | 9.8 | |
| ZDI-23-702 | Linux | CVE-2023-32254 | 9.8 |
| ZDI-23-714 | D-Link | CVE-2023-32169 | 9.8 |
| ZDI-23-716 | D-Link | CVE-2023-32165 | 9.8 |
| ZDI-23-720 | Moxa | CVE-2023-33236 | 9.8 |
| ZDI-23-840 | VMware | CVE-2023-20887 | 9.8 |
| ZDI-23-882 | Microsoft | CVE-2023-29357 | 9.8 |
| ZDI-23-897 | İlerleme Yazılımı | CVE-2023-36934 | 9.8 |
| ZDI-23-906 | Delta Elektronik | CVE-2023-34347 | 9.8 |
| ZDI-23-920 | NETGEAR | CVE-2023-38096 | 9.8 |
| ZDI-23-1025 | Üçgen MicroWorks | CVE-2023-39457 | 9.8 |
| ZDI-23-1046 | Endüktif Otomasyon | CVE-2023-39476 | 9.8 |
| ZDI-23-1047 | Endüktif Otomasyon | CVE-2023-39475 | 9.8 |
Trend Micro Hakkında Dünyanın önde gelen BT güvenliği sağlayıcılarından biri olan Trend Micro, dijital veri alışverişi için güvenli bir dünya yaratılmasına yardımcı olur. 30 yılı aşkın güvenlik uzmanlığı, küresel tehdit araştırması ve sürekli yenilikle Trend Micro işletmeler, devlet kurumları ve tüketiciler için koruma sunar. XGen™ güvenlik stratejimiz sayesinde çözümlerimiz, öncü ortamlar için optimize edilmiş nesiller arası savunma teknikleri kombinasyonundan yararlanır. Ağa bağlı tehdit bilgileri, daha iyi ve daha hızlı koruma sağlar. Bulut iş yükleri, uç noktalar, e-posta, IIoT ve ağlar için optimize edilmiş bağlantılı çözümlerimiz, daha hızlı tehdit algılama ve yanıt için tüm kuruluş genelinde merkezileştirilmiş görünürlük sağlar.