Eaton UPS Companion Proqramında Tənqidi Zəifliklər: Host Sistemdə Özbaşına Kod İcrası Təhlükəsi

Kibermüdafiə sahəsinin diqqət mərkəzində olan ən son inkişafda, Kəsilməz Səhifə Mənbəyi (KSK) avadanlıqları ilə tanınan Eaton şirkətinin “UPS Companion (EUC)” proqram təminatında bir neçə ciddi təhlükəsizlik zəifliyi aşkarlanıb.

Bu zəifliklər, istismar edildiyi təqdirdə, hücum edənlərə host sistemdə Özbaşına Kod İcrası (ÖKİ) imkanı yarada bilər ki, bu da potensial olaraq təsirlənən cihazlar üzərində tam nəzarətin ələ keçirilməsi ilə nəticələnə bilər.

ETN-VA-2025-1026 identifikasiya nömrəsi ilə yayımlanan bu tənqidi bildiriş, proqram təminatının 3.0 versiyasından əvvəlki bütün versiyalarını hədəf alır. Eaton şirkəti ümumi riski “Yüksək” olaraq təsnif edərək, istifadəçiləri proqram təminatını dərhal yeniləməyə çağırır. Xaker.az komandası olaraq, bu həssaslıqların texniki detallarını və müdafiə mexanizmlərini təhlil edirik.

Texniki Detallar

Aşkarlanan təhlükəsizlik boşluqları iki əsas CVE kodu altında qruplaşdırılıb ki, bunlardan hər biri fərqli istismar vektoruna malikdir:

**1. CVE-2025-59887: Təhlükəsiz Olmayan Kitabxana Yüklənməsi (CVSS: 8.6 – Yüksək)**

Ən kritik zəiflik olan CVE-2025-59887, proqram təminatının quraşdırıcısındakı “Təhlükəsiz Olmayan Kitabxana Yüklənməsi” (Insecure Library Loading) problemi ilə əlaqədardır. Bu tip boşluqlar adətən proqram təminatı Dinamik Bağlantı Kitabxanalarını (DLL) sistemdəki təhlükəsiz olmayan yollardan axtarıb yüklədikdə yaranır.

Təhlükəsizlik tədqiqatçıları müəyyən ediblər ki, hücum edən şəxs proqram paketinin yerləşdiyi yola zərərli DLL faylı yerləşdirsə, quraşdırıcı qanuni fayl əvəzinə bu zərərli kodu yükləyərək icra edə bilər. Bu isə hücum edənin imtiyazlarını yüksəltməyə və ya sistem səviyyəsində əməliyyatlar aparmağa imkan verir.

**2. CVE-2025-59888: Dırnaqsız Axtarış Yolu (CVSS: 6.7 – Orta)**

İkinci zəiflik, CVE-2025-59888, proqram təminatının axtarış yollarında yaranan “qeyri-düzgün dırnaqlanma” (improper quotation) problemi ilə bağlıdır. Xüsusilə Windows əməliyyat sistemlərində, boşluqları olan fayl yolları dırnaq (quotation marks) arasına alınmadıqda, sistem yolu tam olaraq müəyyənləşdirməkdə çətinlik çəkir.

Bu ssenaridə, yerli fayl sisteminə girişi olan hücum edən, yolun başlanğıcında bir icra edilə bilən (executable) fayl (məsələn, “Program.exe”) yerləşdirə bilər. Proqram təminatı zəruri komponenti axtararkən, istəmədən hücumçunun yerləşdirdiyi zərərli faylı icra edəcək. Bu, yerli imtiyazlı hücumlar üçün ideal bir vektordur.

Təhlükənin Miqyası

Eaton UPS Companion proqram təminatı, adətən, KSK cihazlarını idarə etmək üçün serverlərə və ya kritik iş stansiyalarına quraşdırılır. Bu zəifliklərin istismarı təkcə fərdi kompüteri deyil, bütövlükdə KSK tərəfindən qorunan infrastrukturun idarəetmə qatını təhdid edir.

CVSS 8.6 kimi yüksək bir qiymətə malik zəifliyin istismarı, infrastrukturun tam nəzarətini ələ keçirmək üçün istifadə oluna bilər. Bu, xüsusilə sənaye nəzarət sistemləri (ICS) və ya böyük müəssisə şəbəkələri üçün ciddi təhdid yaradır, çünki komprometasiya edilmiş sistem daxili şəbəkədə yan hərəkət üçün baza rolunu oynaya bilər.

Tövsiyələr və Həll Yolları

Eaton şirkəti bütün istifadəçilərə bu təhlükələri aradan qaldıran **UPS Companion proqram təminatının 3.0 versiyasına** dərhal miqrasiya etməyi tövsiyə edir. Bu yeniləmə, zərərli DLL yüklənməsinin və dırnaqsız axtarış yolu problemlərinin qarşısını almaq üçün lazımi təhlükəsizlik yamaqlarını ehtiva edir.

Yeniləməni dərhal tətbiq edə bilməyən təşkilatlar üçün Eaton aşağıdakı yumşaltma tədbirlərini təklif edir:

• **Girişin Məhdudlaşdırılması:** Host sistemə yerli və uzaqdan girişi yalnız səlahiyyətli personalın istifadə edə biləcəyi şəkildə məhdudlaşdırın.
• **Şəbəkə Segmentasiyası:** Bütün nəzarət sistemi şəbəkələrinin etibarlı şəkildə konfiqurasiya edilmiş Təhlükəsizlik Divarlarının (Firewall) arxasında yerləşdiyinə əmin olun.
• **Rəsmi Mənbələrdən Yükləmə:** Proqram təminatını yalnız Eaton-un rəsmi paylama kanallarından yükləyin və qeyri-rəsmi mənbələrdən istifadə etməkdən çəkinin (bu, paketlərin zərərli müdaxilədən qorunması üçün vacibdir).
• **Minimal İmtiyaz Prinsipi:** UPS Companion-un işlədiyi istifadəçi hesabının minimal zəruri imtiyazlara malik olduğunu təmin edin.

Nəticə

Eaton UPS Companion proqramındakı bu tənqidi zəifliklər (CVE-2025-59887 və CVE-2025-59888), sistem inteqrasiyası və enerji idarəetməsi kontekstində proqram təminatının təhlükəsizliyinin nə qədər həyati əhəmiyyət daşıdığını bir daha göstərir. Təşkilatlar bu zəifliklərin potensial fəsadlarını nəzərə alaraq, ən qısa müddətdə müvafiq yamaqları tətbiq etməli və çoxqatlı müdafiə strategiyasını gücləndirməlidirlər.