CVE-2025-6205: Missing authorization vulnerability affecting DELMIA Apriso from Release 2020 through Release 2025
Noroxi değerlendirmesi
Öncelik: Hemen (aksiyon skoru 86/100)
- CISA bu açığın sahada sömürüldüğünü doğruladı (28 Eki 2025). ABD kamu kurumları için kapatma son tarihi 18 Kas 2025.
- Hazır saldırı modülü yayımlanmış (Nuclei); sömürmek özel uzmanlık gerektirmiyor.
- Önümüzdeki 30 günde sömürülme olasılığı %67,1 (FIRST EPSS); kayıtların %99,3 kadarından yüksek.
- İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
- CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
- Kayda göre henüz düzeltme sürümü yok.
Bugün yamayın ya da erişimi kapatın. Düzeltme yayımlanana kadar etkilenen bileşene erişimi kısıtlayın ve üreticinin duyurusunu izleyin.
Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz
Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS
A missing authorization vulnerability affecting DELMIA Apriso from Release 2020 through Release 2025 could allow an attacker to gain privileged access to the application.
- Yayın
- 4 Ağu 2025
- Güncelleme
- 17 Haz 2026
- EPSS
- %67,1 · 99. yüzdelik
- CWE
- CWE-862
Rapor araçları
Aksiyon skoru
86
Bugün yamayın ya da erişimi kapatın.
- CVSS
- 36 / 40 · 9.1 / 10
- CISA KEV
- 30 / 30 · Listede
- EPSS
- 20 / 30 · %67,1
CISA SSVC kararı
- Sömürü
- aktif
- Otomatikleştirilebilir
- evet
- Teknik etki
- tam
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- —
- CNA · 3DS
- 9,1
- NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Sahada aktif sömürülüyor
CISA bu zafiyeti 28 Eki 2025 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.
ABD federal kurumları için son yama tarihi: 18 Kas 2025.
Bu kayıt değişirse haber alın
- CISA KEV'de: sahada sömürüldüğü doğrulandı
- Silahlaştırılmış istismar var
- Düzeltme sürümü henüz yok
Bunlardan biri değişirse günlük e-posta özetinde haber veririz.
Sürümünüz etkileniyor mu? Kontrol edinNoroxi analizi
Sizin ortamınızda ne anlama geliyor?
Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.
Bu ürünü kullanıyoruz, yardım isteyinEtkilenen sistemler
Sürümünüz etkileniyor mu?
Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.
| Üretici | Ürün | CPE |
|---|---|---|
| 3ds | delmia apriso | cpe:2.3:a:3ds:delmia_apriso |
Üreticinin bildirdiği sürümler
Kaydı açan otorite (3DS) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
Dassault Systèmes DELMIA Apriso
- Release 2020 Golden ve sonrası · Release 2020 SP4 dahil öncesietkilenir
- Release 2021 Golden ve sonrası · Release 2021 SP3 dahil öncesietkilenir
- Release 2022 Golden ve sonrası · Release 2022 SP3 dahil öncesietkilenir
- Release 2023 Golden ve sonrası · Release 2023 SP3 dahil öncesietkilenir
- Release 2024 Golden ve sonrası · Release 2024 SP1 dahil öncesietkilenir
- Release 2025 Golden ve sonrası · Release 2025 SP1 dahil öncesietkilenir
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.
- 3ds delmia apriso2020 ve sonrası · 2025 öncesi
Aynı üründe
3ds: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2025-5086Deserialization of Untrusted Data vulnerability affecting DELMIA Apriso from Release 2020 through Release 2025KEV95Hemen
- CVE-2025-6204Improper Control of Generation of Code (Code Injection) vulnerability affecting DELMIA Apriso from Release 2020 through Release 2025KEV85Hemen
- CVE-2023-2141Unsafe .NET object deserialization affecting DELMIA Apriso Release 2017 through Release 202235İzleyin
Bu üründe bundan önce ve sonra yayımlananlar
- ← ÖncekiCVE-2023-213921 Nis 2023 · Reflected Cross-site Scripting vulnerability affecting DELMIA Apriso Release 2017 through Release 202224İzleyin
- ← ÖncekiCVE-2023-214021 Nis 2023 · Server-Side Request Forgery vulnerability affecting DELMIA Apriso Release 2017 through Release 202230İzleyin
- ← ÖncekiCVE-2024-09351 Şub 2024 · Insertion of Sensitive Information into Log File vulnerabilities affecting DELMIA Apriso Release 2019 through Release 202430İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.
İstismar durumu
Silahlaştırılmış
Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.
Kanıt
- Nuclei tespit şablonu ×1
Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.
| Kaynak | Tür | Tarih |
|---|---|---|
| Nuclei tespit şablonu | Nuclei şablonu CVE-2025-6205 | — |
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
- Yayın
- CISA KEV+85 gün
- Bugün14 Kas 2026+467 gün
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Bu kayıtta yok: yama commit'i ya da PR bağlantısı · araştırmacı kredisi · varyant ya da zincir adayı · herkese açık ödül programı.
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yüksek · veriler okunabilir
- Bütünlük
- yüksek · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- yok
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yüksek
- Bütünlük etkisi
- Yüksek
- Erişilebilirlik etkisi
- Yok
Zayıflık sınıfı (CWE)
CWE-862 · Missing AuthorizationCVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
nvd-secondary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Değişiklik günlüğü (0)
Bu kayıtta izlenen alanlarda henüz değişiklik kaydı yok. Skor, KEV, istismar olgunluğu ve düzeltme durumu değiştiğinde burada görünür.
Referanslar
Tüm referansları göster (1 daha)Daha az göster
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.