CVE-2017-6466
Açıklama
Çeşitli F-Secure ürünlerinde dağıtılan F-Secure Software Updater 2.20, kurulum paketlerini şifrelenmemiş http üzerinden indirir ve indirme sonrası dosya bütünlüğü doğrulaması yapmaz. Ortadaki adam (Man-in-the-middle) saldırganları, dosyayı kendi yürütülebilir dosyalarıyla değiştirerek bu dosyanın SYSTEM hesabı altında çalıştırılmasını sağlayabilir. Software Updater otomatik güncelleme yüklemek üzere yapılandırıldığında, varsayılan olarak indirilen dosyanın dijital olarak imzalanıp imzalanmadığını kontrol ettiği ancak imzanın yazarına dair bir kontrol yapmadığı unutulmamalıdır. Manuel modda (varsayılan) çalışırken ise herhangi bir imza kontrolü gerçekleştirilmez.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| f-secure software_updater | 2.20 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.