SAP, SQL Anywhere Monitor'ün GUI dışı varyantındaki maksimum önem derecesine sahip bir kusur ve Solution Manager platformunda kritik bir kod ekleme sorunu da dahil olmak üzere birden fazla güvenlik açığını gideren Kasım ayı güvenlik güncellemelerini yayınladı.
SQL Anywhere Monitor'deki güvenlik sorunu CVE-2025-42890 olarak izlenir ve sabit kodlanmış kimlik bilgilerinden oluşur. Artan risk nedeniyle güvenlik açığı maksimum önem puanı olan 10,0'ı aldı.
Kusurun açıklamasında "SQL Anywhere Monitor (GUI olmayan), kimlik bilgilerini koda ekleyerek kaynakları veya işlevleri istenmeyen kullanıcılara açık hale getiriyor ve saldırganlara rastgele kod yürütme olanağı sağlıyor" yazıyor.
Nasıl kullanıldıklarına bağlı olarak kimlik bilgilerini ele geçiren bir saldırgan, bunları yönetim işlevlerine erişmek için kullanabilir.
SQL Anywhere Monitor, SQL Anywhere paketinin bir parçası olan ve genellikle dağıtılmış veya uzak veritabanlarını yöneten kuruluşlar tarafından kullanılan bir veritabanı izleme ve uyarı aracıdır.
GUI olmayan monitör bileşeni genellikle, sık sık insan gözetimi olmadan çalıştığı gözetimsiz cihazlara dağıtılır.
CVE-2025-42887 olarak tanımlanan ikinci kritik güvenlik açığının önem derecesi 9,9'dur ve uygulama yaşam döngüsü yönetimi platformu olan SAP Solution Manager'ı etkilemektedir.
Ulusal Güvenlik Açığı Veritabanındaki girişte "Giriş temizliğinin eksik olması nedeniyle SAP Solution Manager, kimliği doğrulanmış bir saldırganın uzaktan etkinleştirilmiş bir işlev modülünü çağırırken kötü amaçlı kod eklemesine izin veriyor" deniyor.
"Bu, saldırganın sistem üzerinde tam kontrol sahibi olmasını sağlayabilir ve dolayısıyla sistemin gizliliği, bütünlüğü ve kullanılabilirliği üzerinde yüksek etkiye yol açabilir."
SAP Solution Manager, genellikle ERP, CRM ve analitik çözümlerini kapsayan karmaşık ağları işleten büyük kuruluşlar tarafından kullanılan, SAP ortamlarına yönelik merkezi bir yönetim ve izleme platformudur.
Kasım 2025 güvenlik güncellemeleri paketi bağlamında SAP ayrıca yüksek önem derecesine sahip bir kusur (CVE-2025-42940) ve diğer 14 orta önem derecesine sahip güvenlik açığı için düzeltmeler yayınladı.
Ayrıca Alman yazılım devi, NetWeaver'daki kritik bir kusur olan ve ilk olarak geçen ay giderilen CVE-2025-42944 için güncellemeler yayınladı.
Büyük kuruluşlarda yaygın olarak dağıtılan ve görev açısından kritik verilerin emanet edildiği SAP ürünleri, yüksek değerli erişim arayan tehdit aktörlerinin sık sık hedefi oluyor.
Bu yılın başlarında, SecurityBridge araştırmacıları CVE-2025-42957 olarak takip edilen ve SAP S/4HANA, Business One ve NetWeaver sistemlerini etkileyen kritik bir kod ekleme güvenlik açığından aktif olarak yararlanıldığını bildirdi.
SAP'nin bugün düzelttiği iki kritik kusur için etkin bir kötüye kullanım tespit edilmedi, ancak sistem yöneticilerine mevcut güncellemeleri mümkün olan en kısa sürede uygulamaları ve satıcının CVE-2025-42890 ve CVE-2025-42887 (yalnızca hesap sahipleri tarafından erişilebilir) için hafifletme önerilerini takip etmeleri önerilir.
MCP (Model Bağlam Protokolü), LLM'leri araçlara ve verilere bağlamak için standart haline geldikçe, güvenlik ekipleri bu yeni hizmetleri güvende tutmak için hızla hareket ediyor.
Bu ücretsiz yardımcı sayfa, bugün kullanmaya başlayabileceğiniz en iyi 7 uygulamayı özetlemektedir.
Microsoft Kasım 2025 Yaması Salı, 1 sıfır gün, 63 kusuru düzeltti
Action1 ve Microsoft WSUS Karşılaştırması: Modern Yama Yönetimine Daha İyi Bir Yaklaşım
CISA, aktif olarak istismar edilen iki Dassault güvenlik açığına karşı uyardı
Microsoft Ekim 2025 Yaması Salı, 6 sıfır gün ve 172 kusuru düzeltti
Synology, Pwn2Own İrlanda'da tanıtılan BeeStation sıfır günlerini düzeltti
Kaynak: Bleeping Computer