Progress Kemp LoadMaster ürününde kısa süre önce keşfedilen kritik bir güvenlik açığı, aktif saldırı girişimlerine hedef oldu. Kanada merkezli siber güvenlik firması eSentire'in Tehdit Müdahale Birimi (TRU) tarafından yayımlanan uyarıya göre, CVE-2026-8037 numaralı bu açık (CVSS puanı: 9.6), saldırganların hedef cihazda keyfi kod çalıştırmasına izin veren bir işletim sistemi (OS) komut enjeksiyonu zafiyeti. Saldırı girişimlerinin 29 Haziran 2024'te başladığı belirtiliyor.
Progress, geçtiğimiz ay başında yayımladığı güvenlik uyarısında, bu açığı "LoadMaster'da API'de bulunan OS Komut Enjeksiyonu Uzaktan Kod Çalıştırma Zafiyeti" olarak tanımladı. Açık, kimlik doğrulaması gerektirmeyen bir saldırganın, temizlenmemiş girdiyi kullanarak LoadMaster cihazında keyfi komutlar çalıştırmasına olanak tanıyor. watchTowr Labs tarafından yapılan analizde, zafiyetin yük dengeleyici uygulamasındaki 'escape_quotes()' fonksiyonundan kaynaklandığı ve kullanıcı tarafından sağlanan girdinin hatalı işlenmesinden kaynaklandığı tespit edildi.
Sorunun temelinde, fonksiyonun temizlenmiş dizeleri doğru şekilde null ile sonlandıramaması yatıyor. Bu durum, bitişik yığın belleğe sınır dışı okumaya yol açıyor. Saldırgan, bu açığı kullanarak '/accessv2' uç noktasına özel hazırlanmış istekler gönderip yığın belleği manipüle ederek komut enjeksiyonu yapabiliyor. Başarılı bir istismarın etkisi çok ciddi; kimlik doğrulamasız bir saldırgan, geçerli kimlik bilgilerine sahip olmadan hedef cihazda keyfi komutlar çalıştırabiliyor.
Önemli Gelişmeler
eSentire, gözlemlediği saldırı girişimlerinin başarısız olduğunu ve bu nedenle herhangi bir sızma sonrası faaliyet tespit edilmediğini bildirdi. Ancak, zafiyet için bir proof-of-concept (PoC) istismar kodu ve ayrıntılı teknik bilgilerin mevcut olması, yakın gelecekte CVE-2026-8037'ye yönelik kötü niyetli faaliyetlerin artmasına neden olabilir. Saldırı girişimlerinin 192.42.116.58, 192.42.116.105 ve 146.70.139.154 IP adreslerinden geldiği belirtiliyor. Bu açık, daha önce aktif istismara uğrayan CVE-2024-1212'nin ardından Progress Kemp LoadMaster'da keşfedilen ikinci kritik OS komut enjeksiyonu zafiyeti.
