Hitachi HiRDB veritabanında CVSS 9,8 açık: kimlik doğrulamasız ağ erişimiyle tetiklenebiliyor, Version 9 için düzeltme listesi yok
Hitachi, ilişkisel veritabanı HiRDB Server'da "kısmi dizi karşılaştırma" açığını duyurdu (CVE-2026-115646, CVSS 9,8). Version 10'un 10-12 dahil geniş bir sürüm aralığı ve Version 9 ailesi etkileniyor. Version 10 için 10-12-01, 10-11-02 ve 10-08-05 düzeltmeleri yayımlandı; Version 9 ürünleri için bildirimde düzeltilmiş sürüm yer almıyor.
CVE-2026-115646
Hitachi, ağırlıklı olarak Japonya merkezli kurumsal ortamlarda iş uygulamalarının arkasında çalışan ilişkisel veritabanı HiRDB Server için kritik bir güvenlik bildirimi yayımladı. 10 Kasım tarihli hitachi-sec-2026-165 bildirimindeki CVE-2026-115646, CVSS 3.1 ile 9,8 puan aldı (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Hitachi açığı yalnızca "kısmi dizi karşılaştırma" (partial string comparison) zafiyeti olarak tanımlıyor ve hangi bileşende olduğunu açıklamıyor. CVSS vektörü ise tabloyu netleştiriyor: Açık ağ üzerinden, herhangi bir yetki ya da kullanıcı etkileşimi gerekmeden tetiklenebiliyor ve veritabanının gizliliği, bütünlüğü ve erişilebilirliği üzerinde tam etki yaratabiliyor. Bu sınıftaki açıklar, bir değerin tamamı yerine yalnızca bir kısmının karşılaştırılmasından doğar ve çoğu zaman kimlik ya da parola denetimlerinde görülür. Hitachi bu konuda bir açıklama yapmadığı için açığın doğası şimdilik kesin değil.
Açık CISA KEV kataloğunda yok. Bildirimde istismar ya da kamuya açık exploit bilgisi de yer almıyor.
Dikkat çeken nokta, düzeltmelerin kapsamı. Hitachi, Version 10 için üç düzeltilmiş sürüm yayımladı. Version 9, Version 9(32) ve "Additional Function" ürünleri ise etkilenenler listesinde yer aldığı halde düzeltilmiş ürünler listesinde bulunmuyor. Bu ürünleri kullanan kurumların Hitachi destek kanalıyla iletişime geçmesi gerekiyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen (bildirimdeki aralık) | Düzeltilmiş sürüm |
|---|---|---|
| HiRDB Server Version 10 (AIX, Linux, Windows) | 10-00'dan 10-12'ye kadar (platforma göre alt sürümler bildirimde) | 10-12-01, 10-11-02, 10-08-05 |
| HiRDB Server Version 10 (HP-UX) | 10-00'dan 10-05-12'ye kadar | Bildirimde yer almıyor |
| HiRDB Server Version 9 ve 9(32) | 09-50-06'dan 09-66-22'ye kadar | Bildirimde yer almıyor |
| HiRDB Server with Additional Function Version 9 ve 9(32) | 09-50-/F'den 09-66-/V'ye kadar | Bildirimde yer almıyor |
Platform bazında tam sürüm listesi için Hitachi bildirimindeki tabloya bakın.
Beni etkiliyor mu?
- Kurumunuzda HiRDB Server Version 9 ya da Version 10 çalışıyorsa, büyük olasılıkla etkilenen aralıktasınız. Bildirimdeki etkilenen aralık 10-12 dahil neredeyse tüm Version 10 sürümlerini kapsıyor.
- Kurulu sürümü yazılım envanterinizden doğrulayın. Windows'ta salt okunur olarak:
Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object DisplayName -like "*HiRDB*" | Select-Object DisplayName, DisplayVersion - Risk, HiRDB'ye bağlantı portunun uygulama sunucuları dışındaki ağlardan erişilebildiği ortamlarda en yüksek. Sunucuda dinlenen portları salt okunur olarak görmek için Linux'ta
ss -ltnp, Windows'taGet-NetTCPConnection -State Listenkullanabilirsiniz. - HiRDB'yi bir paket uygulamanın (ör. Hitachi ya da iş ortağı çözümleri) parçası olarak kullanıyorsanız, uygulama sağlayıcınıza da danışın.
Ne yapılmalı?
- Version 10 kullanıyorsanız, sürüm hattınıza uygun düzeltmeye (10-12-01, 10-11-02 ya da 10-08-05) geçişi değişiklik sürecinizle planlayın. Önce test ortamında doğrulayın.
- Version 9, Version 9(32), Additional Function ürünleri ya da HP-UX üzerinde Version 10 kullanıyorsanız, düzeltme ve geçiş yolu için Hitachi destek temsilcinizle iletişime geçin.
- Düzeltme uygulanana kadar HiRDB bağlantı portuna erişimi yalnızca gerekli uygulama sunucularıyla sınırlamayı değerlendirin. Veritabanı sunucusunun internetten ya da kullanıcı ağlarından doğrudan erişilebilir olmadığını doğrulayın.
- Veritabanı erişim kayıtlarını ve audit trail çıktısını beklenmeyen kaynaklardan gelen bağlantılar ve başarılı oturum açmalar için inceleyin. Şüpheli bir iz görürseniz olay müdahalesi başlatın.
- Hitachi bildirimini takipte tutun; Version 9 için düzeltme yayımlandığında bildirim güncellenecektir.
