NVD / CVE Programı· CNA redhat

CVE-2009-3555: The TLS protocol, and the SSL protocol 3.0 and possibly earlier, as used in Microsoft Internet Information Services (IIS) 7.0, mod_ssl in…

KritikCVSS 9.8 · v3.1—Kavram kanıtı Düzeltme var

Noroxi değerlendirmesi

Öncelik: Bu hafta (aksiyon skoru 65/100)

Herkese açık kavram kanıtı (PoC) kodu var (Exploit-DB, GitHub); sahada sömürüldüğüne dair kayıt yok.
Önümüzdeki 30 günde sömürülme olasılığı %87,2 (FIRST EPSS); kayıtların %99,7 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
Düzeltilmiş sürüm: apache2 (Debian:12) 2.2.14-2; lighttpd (Debian:12) 1.4.30-1; nginx (Debian:12) 0.7.64-1.
Ulusal siber güvenlik bildirimlerinde (siberguvenlik.gov.tr) 3 kez anıldı.

Bir sonraki bakım penceresini beklemeyin. apache2 (Debian:12) 2.2.14-2; lighttpd (Debian:12) 1.4.30-1; nginx (Debian:12) 0.7.64-1 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · FIRST EPSS

The TLS protocol, and the SSL protocol 3.0 and possibly earlier, as used in Microsoft Internet Information Services (IIS) 7.0, mod_ssl in the Apache HTTP Server 2.2.14 and earlier, OpenSSL before 0.9.8l, GnuTLS 2.8.5 and earlier, Mozilla Network Security Services (NSS) 3.12.4 and earlier, multiple Cisco products, and other products, does not properly associate renegotiation handshakes with an existing connection, which allows man-in-the-middle attackers to insert data into HTTPS sessions, and possibly other types of sessions protected by TLS or SSL, by sending an unauthenticated request that is processed retroactively by a server in a post-renegotiation context, related to a "plaintext injection" attack, aka the "Project Mogul" issue.

Yayın: 9 Kas 2009
Güncelleme: 16 Haz 2026
EPSS: %87,2 · 99. yüzdelik
CWE: CWE-295

Rapor araçları

JSON

Aksiyon skoru

Bu hafta

Bir sonraki bakım penceresini beklemeyin.

CVSS: 39 / 40 · 9.8 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 26 / 30 · %87,2

CISA SSVC kararı

Sömürü: kavram kanıtı
Otomatikleştirilebilir: evet
Teknik etki: tam

Vulnrichment: CISA'nın karar ağacı girdileri.

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Kavram kanıtı var, silahlaştırılmış modül yok
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sunucunuzda Apache HTTP Server internete açık mı?Port taraması yap

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
apache	http server	cpe:2.3:a:apache:http_server
gnu	gnutls	cpe:2.3:a:gnu:gnutls
mozilla	nss	cpe:2.3:a:mozilla:nss
openssl	openssl	cpe:2.3:a:openssl:openssl
canonical	ubuntu linux	cpe:2.3:o:canonical:ubuntu_linux
debian	debian linux	cpe:2.3:o:debian:debian_linux
fedoraproject	fedora	cpe:2.3:o:fedoraproject:fedora
f5	nginx	cpe:2.3:a:f5:nginx

Bu ürünü (http server) kullanıyor musunuz? Stack’inize ekleyin; bunun gibi kayıtlarda ilk siz haberdar olun. (Apache HTTP)

Sunucunuzda Apache HTTP Server internete açık mı?

Ücretsiz port taraması sunucunuzda açık portları bulur, okuyabildiği servis sürümlerini bilinen açıklarla eşleştirir. Hesap gerekmez.

Port taraması yap

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

apache http server2.2.14 dahil
f5 nginx0.1.0 ve sonrası · 0.8.22 dahil

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
Debian:12	apache2	2.2.14-2 öncesi	2.2.14-2
Debian:12	lighttpd	1.4.30-1 öncesi	1.4.30-1
Debian:12	nginx	0.7.64-1 öncesi	0.7.64-1
Debian:12	nss	3.12.6-1 öncesi	3.12.6-1
Debian:12	openssl	0.9.8k-6 öncesi	0.9.8k-6
Debian:12	tomcat-native	1.1.18-1 öncesi	1.1.18-1
Debian:13	pound	2.6-6.1 öncesi	2.6-6.1
Debian:4.0	apache2	2.2.3-4+etch11 öncesi	2.2.3-4+etch11
Debian:5.0	apache2	2.2.9-10+lenny6 öncesi	2.2.9-10+lenny6
Debian:5.0	nss	3.12.3.1-0lenny3 öncesi	3.12.3.1-0lenny3
Debian:5.0	openssl	0.9.8g-15+lenny11 öncesi	0.9.8g-15+lenny11
Debian:6.0	lighttpd	1.4.28-2+squeeze1.2 öncesi	1.4.28-2+squeeze1.2
Debian:6.0	pound	2.6-1+deb6u1 öncesi	2.6-1+deb6u1
Debian:7	pound	2.6-2+deb7u1 öncesi	2.6-2+deb7u1
Debian:8	pound	2.6-6+deb8u1 öncesi	2.6-6+deb8u1
Maven	org.apache.tomcat:tomcat	5.0.0 itibarıyla · 5.5.33 öncesi	5.5.33
Maven	org.apache.tomcat:tomcat	6.0.0 itibarıyla · 6.0.32 öncesi	6.0.32
Maven	org.apache.tomcat:tomcat	7.0.0 itibarıyla · 7.0.10 öncesi	7.0.10
openSUSE:Tumbleweed	apache2	2.4.23-4.1 öncesi	2.4.23-4.1
openSUSE:Tumbleweed	MozillaThunderbird	45.5.1-1.1 öncesi	45.5.1-1.1
Red Hat:enterprise_linux:3::as	httpd	0:2.0.46-77.ent öncesi	0:2.0.46-77.ent
Red Hat:enterprise_linux:3::as	httpd-debuginfo	0:2.0.46-77.ent öncesi	0:2.0.46-77.ent
Red Hat:enterprise_linux:3::as	httpd-devel	0:2.0.46-77.ent öncesi	0:2.0.46-77.ent
Red Hat:enterprise_linux:3::as	mod_ssl	1:2.0.46-77.ent öncesi	1:2.0.46-77.ent

+96

Aynı üründe

apache: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2021-42013Path Traversal and Remote Code Execution in Apache HTTP Server 2.4.49 and 2.4.50 (incomplete fix of CVE-2021-41773)KEV
99Hemen
CVE-2021-41773Path traversal and file disclosure vulnerability in Apache HTTP Server 2.4.49KEV
99Hemen
CVE-2024-38475Apache HTTP Server weakness in mod_rewrite when first segment of substitution matches filesystem path.KEV
96Hemen

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2009-30958 Eyl 2009 · The mod_proxy_ftp module in the Apache HTTP Server allows remote attackers to bypass intended access restrictions and send arbitrary…
24İzleyin
← ÖncekiCVE-2009-269913 Eki 2009 · The Solaris pollset feature in the Event Port backend in poll/unix/port.c in the Apache Portable Runtime (APR) library before 1.3.9, as…
34İzleyin
Sonraki →CVE-2010-00102 Şub 2010 · Integer overflow in the ap_proxy_send_fb function in proxy/proxy_util.c in mod_proxy in the Apache HTTP Server before 1.3.42 on 64-bit…
40Planlayın

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
debian:apache2	2.2.14-2 · Debian:12	Paket deposu (OSV)
debian:lighttpd	1.4.30-1 · Debian:12	Paket deposu (OSV)
debian:nginx	0.7.64-1 · Debian:12	Paket deposu (OSV)
debian:nss	3.12.6-1 · Debian:12	Paket deposu (OSV)
debian:openssl	0.9.8k-6 · Debian:12	Paket deposu (OSV)
debian:pound	2.6-6.1 · Debian:13	Paket deposu (OSV)
debian:tomcat-native	1.1.18-1 · Debian:12	Paket deposu (OSV)
Maven:org.apache.tomcat:tomcat	5.5.33	Paket deposu (OSV)
Maven:org.apache.tomcat:tomcat	6.0.32	Paket deposu (OSV)
Maven:org.apache.tomcat:tomcat	7.0.10	Paket deposu (OSV)
opensuse:apache2	2.4.23-4.1 · openSUSE:Tumbleweed	Paket deposu (OSV)
opensuse:MozillaThunderbird	45.5.1-1.1 · openSUSE:Tumbleweed	Paket deposu (OSV)
red hat:httpd	0:2.0.46-77.ent · Red Hat:enterprise_linux:3::as	Paket deposu (OSV)
red hat:httpd-debuginfo	0:2.0.46-77.ent · Red Hat:enterprise_linux:3::as	Paket deposu (OSV)
red hat:httpd-devel	0:2.0.46-77.ent · Red Hat:enterprise_linux:3::as	Paket deposu (OSV)
red hat:httpd-manual	0:2.2.3-31.el5_4.2 · Red Hat:enterprise_linux:5::client_workstation	Paket deposu (OSV)
red hat:httpd-suexec	0:2.0.52-41.ent.6 · Red Hat:enterprise_linux:4::as	Paket deposu (OSV)
red hat:java-1.6.0-ibm	1:1.6.0.7-1jpp.3.el4 · Red Hat:rhel_extras:4	Paket deposu (OSV)
red hat:java-1.6.0-ibm-demo	1:1.6.0.7-1jpp.3.el4 · Red Hat:rhel_extras:4	Paket deposu (OSV)
red hat:java-1.6.0-ibm-devel	1:1.6.0.7-1jpp.3.el4 · Red Hat:rhel_extras:4	Paket deposu (OSV)
red hat:java-1.6.0-ibm-javacomm	1:1.6.0.7-1jpp.3.el4 · Red Hat:rhel_extras:4	Paket deposu (OSV)
red hat:java-1.6.0-ibm-jdbc	1:1.6.0.7-1jpp.3.el4 · Red Hat:rhel_extras:4	Paket deposu (OSV)
red hat:java-1.6.0-ibm-plugin	1:1.6.0.7-1jpp.3.el4 · Red Hat:rhel_extras:4	Paket deposu (OSV)
red hat:mod_ssl	1:2.0.46-77.ent · Red Hat:enterprise_linux:3::as	Paket deposu (OSV)

İstismar durumu

Kavram kanıtı mevcut

Kamuya açık bir kavram kanıtı ya da tespit imzası var. İstismar bilgisi dışarıda; yamayı geciktirmeyin.

Kanıt

Exploit-DB kaydı ×2
GitHub’da kavram kanıtı deposu ×1

Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.

Kamuya açık istismar kanıtı
Kaynak	Tür	Tarih
Exploit-DB kaydı	remote	2009-11-10
Exploit-DB kaydı	remote	2009-12-21
GitHub’da kavram kanıtı deposu	stars:3	2022-03-30

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın9 Kas 2009
İlk kavram kanıtı10 Kas 2009aynı gün
Bugün14 Kas 2026+6214 gün

Ulusal bildirim (Siber Güvenlik Başkanlığı / USOM)

Bu kaydı anan resmi güvenlik bildirimleri; çözüm önerisi kurumun sayfasında.

TR-22-0412 · 10 Haz 2022(Mitsubishi Electric Bildirimi)
TR-19-115 · 22 Ağu 2019(NGINX Sunucu Güvenlik Güncellemesi)
TR-18-110 · 17 Ağu 2018 TR-18-110 (Apache, Tomcat için Güvenlik Güncellemeleri Yayınladı)

Tüm ulusal bildirimler →

Bu kayıtta yok: EPSS geçmişi · yama commit'i ya da PR bağlantısı · araştırmacı kredisi · varyant ya da zincir adayı · herkese açık ödül programı.

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Hesap ya da parola gerekmez.
Kullanıcının bir şey yapması gerekmez.
Özel bir koşul gerekmez; tekrarlanabilir.

Başarılı olursa

Gizlilik: yüksek · veriler okunabilir
Bütünlük: yüksek · veri ya da yapılandırma değiştirilebilir
Erişilebilirlik: yüksek · hizmet durdurulabilir

Saldırı vektörü: Ağ
Karmaşıklık: Düşük
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekmez
Kapsam: Değişmez
Gizlilik etkisi: Yüksek
Bütünlük etkisi: Yüksek
Erişilebilirlik etkisi: Yüksek

Zayıflık sınıfı (CWE)

CWE-295 · Improper Certificate Validation

CVSS vektörü

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-secondary

Kök neden

Sertifika doğrulama hatası, bağlantıyı kesmek yerine sessizce yutuluyor. Çoğu zaman test ortamı için eklenen kod üretime taşınır.

Hatanın kod karşılığı

CWE-295 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

kotlin

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {
2  // Test ortamı için boş bırakıldı
3}

Düzeltilmiş

kotlin

1val client = OkHttpClient.Builder()
2  .certificatePinner(
3    CertificatePinner.Builder()
4      .add("api.sirius.example", "sha256/…")
5      .build()
6  ).build()

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Saldırı desenleri (CAPEC)

ATT&CK teknikleri

—

Değişiklik günlüğü (1)

Düzeltme✗ → ✓28 Eyl 2026 22:47 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

archives.neohapsis.com/archives/bugtraq/2013-11/0120.html

Tüm referansları göster (19 daha)

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Bu ürünü kullanıyoruz, yardım isteyin

Veri kaynakları ve doğrulama

CNA: redhat

CVE.org (CNA)27 May 2026 15:38 UTC
CISA ADP27 May 2026 15:38 UTC
NVD16 Haz 2026 19:11 UTC
FIRST EPSS12 Kas 2026 00:00 UTC
OSV / GHSA13 Kas 2026 03:18 UTC
Exploit-DB13 Kas 2026 03:17 UTC
PoC-in-GitHub13 Kas 2026 03:18 UTC

Her satır, o kaynağın bu kayıt için son işlendiği zamandır.

CVE-2009-3555: The TLS protocol, and the SSL protocol 3.0 and possibly earlier, as used in Microsoft Internet Information Services (IIS) 7.0, mod_ssl in…

Noroxi değerlendirmesi

Bu kayıt değişirse haber alın

CVE-2009-3555 kaydını takip edin

Sizin ortamınızda ne anlama geliyor?

Etkilenen sistemler

Sürümünüz etkileniyor mu?

http server için yeni CVE'leri izleyin

Etkilenen sürümler

Paket düzeyi etkilenme

Aynı üründe

Düzeltme

Hangi sürüme geçmeli

İstismar durumu

Araştırma bağlamı

Zaman çizelgesi

Ulusal bildirim (Siber Güvenlik Başkanlığı / USOM)

Teknik detay

Saldırı koşulları

Başarılı olursa

Kök neden

Hatanın kod karşılığı

Saldırı bağlamı

Referanslar