ASUSTOR, 9.2 puanlı ADM header injection açığını yamaladı; ZoomEye yüzlerce açık NAS arayüzü gösteriyor

ASUSTOR, kritik header injection için ADM yamalarını yayınladı

ASUSTOR, ADM işletim sistemindeki kimlik doğrulama gerektirmeyen, 9.2 önem puanı taşıyan ve cihazın web sunucusu üzerinden keyfi dosya okumaya imkân tanıyan HTTP header injection açığı CVE-2026-105324 için yamalar yayınladı. Açığı ele alan bir dev.to analizine göre, güvenlik açığı herhangi bir kimlik bilgisi gerektirmiyor; bu yüzden asıl soru bir saldırganın bunu istismar edip edemeyeceği değil, arayüze hiç ulaşıp ulaşamayacağı.

Analize göre yama, güncel nesil cihazlar için ADM 5.1.4.RM62, eski dalda kalanlar için ise ADM 4.3.3.RY62 olarak geldi; analiz, yamayı ele alan Security Online haberine atıfta bulunuyor. Her iki kaynak da şimdiye dek aktif istismar bildirmiyor.

Yüzlerce arayüz açık internette erişilebilir durumda

Etkilenebilecek cihaz sayısını ölçmek için dev.to yazısı, internete bağlı varlıkları tarayan bir arama motoru olan ZoomEye'ı 9 Ekim'de UTC ile 02:50 ve 02:52 sorguladı. İki farklı parmak izi yöntemi birbirinden çok farklı tablolar ortaya koydu. Başlığında "ASUSTOR" geçen sayfaları bulan başlık tabanlı bir sorgu 548 varlıkla eşleşirken, uygulama parmak izi sorgusu yalnızca 13 varlıkla eşleşti.

Yazarın okumasına göre, daha katı olan uygulama parmak izi gerçek sayının kendisi değil, onun bir alt kümesi olarak ele alınmalı. Alt markalı model sayfaları ve özelleştirilmiş giriş panelleri, sayfa başlığında üreticinin adı geçse bile bir uygulama parmak izini atlatablebilir; bu da farkın önemli bölümünü açıklar. Yazıya göre her iki sorgu da aynı oturumda, aynı kapsam ayarlarıyla çalıştırıldı.

Ölçümün açık sınırları var. Sayılar sürüm detayı içermeyen parmak izi eşleşmeleri; erişilebilir bir cihaz, güvenlik açığı taşıyan bir derleme olduğunun kanıtı değil — yamalı donanım yazılımı çalıştıran cihazlar, başlıkları hâlâ eşleşse bile etkilenmez.

NAS üzerinde dosya okuma neden göründüğünden daha kötü

dev.to analizi, bir depolama cihazındaki keyfi dosya okumanın, aynı açığın sıradan bir web uygulamasındaki halinden farklı bir sorun sınıfı olduğunu savunuyor. Saldırgan, cihazın kendisinin erişebildiği her dosyayı çekebilir; bu da bir NAS'ta yapılandırma depolarını, hizmet hesapları ve diğer gizli bilgileri içeren yedek kümeleri ile paylaşılan belgelerin yanında kimlik bilgisi materyalini de kapsar.

Dağıtım alışkanlıkları riski büyütür. Yönetim arayüzüne uzaktan erişim bu cihazlarda kolaylık sağlayan bir özellliktir ve yazı, bunun genellikle kurulum sırasında açılıp bir daha gözden geçirilmediğini belirtiyor. Kimlik doğrulamayı tamamen atlayan bir açıkla birleştiğinde, bu alışkanlık LAN içi bir hatayı internete bakan bir hataya dönüştürür.

Operatörler şimdi ne yapmalı

Analizdeki önerilen adım sırası net. ADM 5.1.4.RM62 veya 4.3.3.RY62 sürümüne güncelleyin ve yama gelene kadar yönetim arayüzüne uzaktan erişimi kesin, böylece güvenlik açığı barındıran uç nokta dışarıdan erişilebilir olmasın.

Halihazırda internete açık olan cihazlar için yazı, hangi dosyaların açık üzerinden okunabilir olduğunu tespit etmeyi ve bunların içinde saklanan tüm kimlik bilgilerini değiştirmeyi öneriyor. Bu ikinci adım önemli; çünkü yamalamak kapıyı kapatır ama saldırganın çoktan almış olabileceği veriler için hiçbir şey yapmaz.

Neden önemli

Bu hikâyeyi ASUSTOR sahiplerinin ötesinde önemli kılan iki şey var. Birincisi, güvenlik açığı kimlik doğrulama gerektirmiyor ve 9.2 puan taşıyor; yani istismarın önündeki tek gerçek engel saldırgan yeteneği değil, maruziyet. İkincisi, 548 ile 13 eşleşme arasındaki uçurum, varlık keşfi sayılarının parmak izi yöntemine büyük ölçüde bağlı olduğunun yararlı bir hatırlatıcısı. Tek bir katı sorgu, açıkta kalan bir nüfusu bir mertebelik küçük gösterebilir; bu yüzden kendi çaplarındaki unutulmuş cihazları bulmak için bu tür taramaları kullanan herkes, geniş ve dar parmak izlerini alternatif değil tamamlayıcı olarak ele almalı.