ServiceDesk Plus “Kimlik Doğrulama Adımının Atlanmasına İlişkin” Güvenlik Açığının Tespiti ve Çözümü

  • Authentication bypass vulnerability (Kimlik Doğrulamayı Atlama) Açığı Nedir?

Authentication bypass, uygulamaya giriş yapma yetkisi olmayan birinin, başka bir kullanıcının giriş bilgilerini veya oturumunu çalarak giriş yapabilmesine denir. Saldırı başka bir kullanıcının giriş bilgilerini veya oturumunu çalarak da yapılabilirken, farklı yöntemler de kullanılabilir. 

  • Güvenlik Açığı Hangi Versiyonları kapsar?

Bu güvenlik açığı, 11.305’e kadar ServiceDesk Plus sürümlerini etkileyen, kimliği doğrulanmamış bir uzaktan kod yürütme (RCE) güvenlik açığına yöneliktir.

Bu güvenlik açığı 11306 ve üzeri sürümlerde giderilmiştir. Eğer versiyonunuz 11.305 ve altında ise acil güncelleme yapmanız gerekmektedir. 12.000 Versiyonuna geçiş yapmanız önerilir. Mevcut version bilginizi “About” butonuna tıklayarak öğrenebilirsiniz.

 

 

  • Aşağıdaki URL’den yararlanılarak, mevcut kullanmakta olduğumuz version numarasından hangi üst versiyona geçiş yapabileceğinize bakabilirsiniz. Linkteki service pack alanındaki indirme iconuna tıklayarak “ppm” uzantılı güncelleme dosyasını indirebilirsiniz.

https://www.manageengine.com/products/servicedesk/onpremises/migrationsequence.html

Not: Current Build = Mevcut Versiyon numaranızı bulun.

Move to Build = Geçiş yapılması Gereken Versiyon satırıdır.

  • İndirilen dosya Unblock edilir :

 

 

  • Akabinde uygulama servisi stop edilir ve 2 dakika beklenir. Bu aşamadan sonra uygulama sunucusunun snapshot’ı sağlıklı ve sorunsuz şekilde alınmalıdır. Localhost’da dahili olarak çalışan PGSQL veritabanı yerine uzak bir sunucuda çalışan MSSQL gibi bir DB yapısı kullanılmakta ise “Uygulama sunucusu üzerinden, uygulama servisi stop edildikten sonra hem uygulama sunucusu snapshot’ı hem de DB sunucusunda ilgili database’lerin tam yedeği alınır.
  • Yedekleme işlemleri sağlıklı şekilde gerçekleştirildikten sonra aşağıdaki dizinde bulunan UpdateManager.bat dosyası çalıştırılır. Browse butonu ile update paketi seçilir (.ppm uzantılı güncelleme dosyası)

 

 

  • Install butonuna tıklanır ve işlem başlatılır. Bu süreç, versiyondan versiyona farklı süreler alabilmektedir.
  • İşlem başarı ile gerçekleştirildiğinde aşağıdaki ibareyi görebilirsiniz.

 

 

  • Güncelleme işlemleri tamamlandıktan sonra Services’ den “Manage Engine Servicedesk Service” başlatılır.
  • Bir üst versiyona başarılı bir şekilde geçtiğimiz gözlemlendiğinde uygulama servisi tekrar stop edip aynı işlemleri bir üst versiyona geçiş için tekrarlayabilirsiniz.