CVE-2017-7921: Hikvision Multiple Products Improper Authentication Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2017-7921, Hikvision markasına ait çeşitli ürünlerde bulunan bir zafiyet olup, uygunsuz kimlik doğrulama (improper authentication) sorunu nedeniyle kötü niyetli kullanıcıların sistemde yetki yükseltmesi yapmalarına ve hassas bilgilere erişim sağlamalarına olanak tanımaktadır. Bu zafiyet, CyberFlow platformu üzerinde gerçekleştirilmiş denetimlerde tespit edilerek, hem güvenlik araştırmacıları hem de siber güvenlik uzmanları için ciddi bir tehdit unsuru haline gelmiştir.

Zafiyetin tarihçesi 2017 yılına kadar uzanmakta; o dönemlerde uzmanlar, Hikvision ürünlerindeki bu güvenlik açığını rapor etmeye başlamışlardır. Ürünlerin kimlik doğrulama mekanizmasındaki eksiklikler, siber saldırganlara erişim izni olmadan yetki kazanma olanağı sunmuş ve bu durum birçok kritik sistemin hedef olmasına sebep olmuştur. Genellikle, güvenlik kameraları ve izleme sistemleri gibi fiziki güvenlik ürünlerinde yoğun olarak kullanılan Hikvision cihazları, bu zafiyet nedeniyle bir hedef haline gelmiştir.

CVE-2017-7921’in temel sorunu, ürünlerdeki kimlik doğrulama mekanizmalarının zayıf olmasıdır. Özellikle, bu zafiyeti tetikleyen belirli kullanıcı arayüzü işlemleri, bir siber saldırganın sisteme giriş yapmadan yetki kazanmasını mümkün kılar. Hackerlar, bu zafiyeti kullanarak sistem üzerinde tam kontrol elde edebilir ve önemli bilgileri çalabilir, sistem ayarlarını değiştirebilir veya izleme verilerine erişim sağlayabilir. Bu durum, hem bireysel kullanıcılar hem de kurumsal şirketler için büyük bir tehdit oluşturur.

Gerçek dünya senaryolarında, bu tür bir zafiyetin kullanımıyla karşılaşan firmalar, kritik altyapılarında ciddi güvenlik ihlalleri yaşamışlardır. Örneğin, bir güvenlik firması, Hikvision kameralarını kullanarak oluşturduğu izleme sistemine yapılan bir siber saldırı sonucunda, tespit edemedikleri bir güvenlik açığı nedeniyle hem müşteri verilerini hem de sistem yapılandırmalarını kaybetmiştir. Bu tür olaylar, siber güvenlik alanında dikkatli olunmadığı takdirde neler olabileceğine dair çarpıcı örnekler sunmaktadır.

Hikvision ürünlerindeki bu zafiyetin etkilediği sektörler arasında güvenlik, sağlık, ulaşım ve perakende gibi önemli alanlar yer almaktadır. Bu sektörlerde bulunan kuruluşlar, güvenlik kameraları ve izleme sistemleri gibi Hikvision ürünlerini sıkça kullanmaktadır; dolayısıyla bu zafiyet, bu tür sistemlere sahip kuruluşlar için potansiyel bir tehdit oluşturmaktadır. Zafiyetin kötüye kullanımı sonucunda, örneğin bir hastanenin güvenlik sisteminin ele geçirilmesi durumunda, hastaların kişisel sağlık bilgilerinin tehlikeye girmesi gibi sonuçlar ortaya çıkabilir.

Sonuç olarak, CVE-2017-7921 zafiyeti, Hikvision ürünlerinde kimlik doğrulama mekanizmasının zayıf olması sebebiyle kritik güvenlik sorunları yaratmakta ve birçok sektörü tehdit etmektedir. Siber güvenlik uzmanları ve araştırmacılar, bu tür zafiyetleri tespit etmek ve ortadan kaldırmak için sürekli olarak güncel kalmalı ve güvenlik yazılımlarını en yüksek düzeyde koruma sağlayacak şekilde güncel tutmalıdır. Bu, sadece bireysel güvenlik için değil, aynı zamanda genel siber güvenlik standartlarının yükseltilmesi açısından da hayati bir öneme sahiptir.

Teknik Sömürü (Exploitation) ve PoC

Hikvision ürünlerinde bulunan CVE-2017-7921 zafiyeti, kötü niyetli kullanıcıların sistemdeki yetkilerini artırmasına olanak tanıyan bir yanlış kimlik doğrulama (improper authentication) açığıdır. Bu zafiyet, ilgili cihazların kötüye kullanılması halinde, kullanıcıların hassas verilere erişim sağlamasına neden olabilir. White Hat Hacker perspektifinden bakıldığında, bu tür zafiyetleri anlamak ve uygun güvenlik önlemlerini almak, siber güvenliğin sağlanması açısından kritik öneme sahiptir.

Zafiyetin sömürülmesi için ilk adım, hedef cihazın belirlenmesidir. Hikvision’a ait bir ürün, genellikle bir web arayüzü üzerinden yönetilir.

Hedef Belirleme: Hedef olarak bir Hikvision ürünü seçilmeli ve bu ürünün IP adresi tespit edilmelidir. Örneğin, bir güvenlik kamerasının IP adresi şu şekilde olabilir: http://192.168.1.100.
Kimlik Doğrulama Sürecinin Analizi: Hedef cihazın web arayüzüne erişim sağlanarak, kimlik doğrulama süreci incelenmelidir. Bu aşamada, kullanıcı adı ve şifre alanları doldurularak geçersiz bir kimlik bilgisi girilmeli ve sistemin nasıl yanıt verdiği gözlemlenmelidir. Eğer sistem; hatalı kimlik bilgisi verildiğinde belirli bir hata mesajı veriyorsa, bu durum potansiyel bir zafiyetin göstergesi olabilir.
HTTP İsteği ve Yanıtları: Saldırgan dönemi, cihazın web arayüzünden alınan HTTP isteklerini ve yanıtlarını inceleyerek başlar. Aşağıdaki örnek, başarısız bir kimlik doğrulama isteğine aittir:

   POST /login HTTP/1.1
   Host: 192.168.1.100
   Content-Type: application/x-www-form-urlencoded

   username=admin&amp;password=wrongpassword

Bu isteğe karşılık olarak alınan yanıt, genellikle hata mesajı şeklinde olacaktır. Örneğin:

   HTTP/1.1 401 Unauthorized
   Content-Type: application/json

   {"error": "Invalid username or password"}

Sömürü (Exploitation): Kimlik doğrulama mekanizmasındaki zafiyeti sömmek için, sistemin yanıtlarını analiz eden bir Python betiği yazılabilir. Bu betik, kullanıcı adı ve şifre kombinasyonlarını denemek üzere tasarlanmalıdır.

   import requests

   url = 'http://192.168.1.100/login'
   credentials = [('admin', 'password1'), ('admin', 'password2'), ('admin', 'password3')]

   for username, password in credentials:
       response = requests.post(url, data={'username': username, 'password': password})
       if 'Invalid username or password' not in response.text:
           print(f'Success! Username: {username}, Password: {password}')
           break

Yetki Yükseltme: Başarılı bir kimlik doğrulama sonrasında, cihazın yönetim paneline erişim sağlanabilir. Bu noktada cihazın yapılandırma ayarları değiştirilerek, potansiyel olarak zararlı bir yazılımın yüklenmesi veya sistem verilerinin kötüye kullanılması mümkün hale gelir.
Sonlandırma Aşaması: Sömürme işlemi gerçekleştirildikten sonra, ilgili sistem üzerinde herhangi bir iz bırakmamak açısından dikkatli olunmalıdır. Bunun için, girişlerinizi ve gerçekleştirdiğiniz işlemleri loglamadığınızdan emin olun.

Hikvision’taki CVE-2017-7921 zafiyetinin sömürülmesi, kötü niyetli bireyler için ciddi sonuçlar doğurabilecek bir süreçtir. Ancak, bu bilgilerin sadece eğitim amaçlı kullanılması ve etik hackerlık pratiklerinin yaygınlaştırılması hedeflenmektedir. Doğru önlemler ve güncellemeler ile bu tür zafiyetlerin önüne geçmek, hem bireylerin hem de toplulukların siber güvenliğini artıracaktır.

Forensics (Adli Bilişim) ve Log Analizi

Hikvision ürünlerinde bulunan CVE-2017-7921 zafiyeti, kötü niyetli kullanıcıların sistem üzerinde yetki yükseltme (privilege escalation) yapmasına ve hassas bilgilere erişmesine olanak tanırken, siber güvenlik uzmanları için bu tür tutarsızlıkların tespit edilmesi hayati öneme sahiptir. Özellikle güvenlik kameraları ve izleme sistemleri gibi kritik altyapılar için bu durum, daha geniş bir sistem çökmesine ya da veri sızıntısına yol açabilir.

Öncelikle, bu tür bir zafiyetin nasıl çalıştığını anlamak, siber güvenlik uzmanlarına bu olayı tespit etme konusunda yardımcı olur. Hikvision ürünlerinde yaşanan bu açık, yetkisiz kullanıcıların sistemde yetki kazanmasına neden olabilecek bir kimlik doğrulama (authentication) hatasıdır. Kullanıcıların kimliklerini doğrulamak için gereken kontroller eksik olduğunda, bir saldırgan basit isteklerle yeterli ayrıcalıkları elde edebilir. Bu durum, siber saldırılar için geniş bir kapı açar ve daha fazla zararlı etkinliği kolaylaştırır.

Bir siber güvenlik uzmanı, bu tür bir saldırıyı SIEM (Security Information and Event Management) sistemlerinde veya log (kayit) dosyalarında tespit etmek için belirli imzalara (signature) odaklanmalıdır. İlk olarak, erişim logları (access logs) incelenmelidir. Aşağıdaki kod parçası, özellikle logları analiz ederken dikkat edilmesi gereken bazı örnek talepleri göstermektedir:

192.168.1.10 - - [22/Oct/2022:10:05:32 +0000] "GET /admin HTTP/1.1" 200 5627
192.168.1.10 - - [22/Oct/2022:10:05:35 +0000] "POST /auth/login HTTP/1.1" 302 0

Bu tür loglarda, normal kullanıcı erişim talepleri dışında, sıklıkla "admin" veya "login" gibi anahtar kelimelerin yer alması dikkatlice gözlemlenmelidir. Özellikle, normalde yetkilendirmenin gerektirdiği belirli parametreler olmaksızın iddialı isteklerin yapılması, potansiyel bir saldırıyı işaret edebilir. Yetkisiz erişim talepleri genellikle belirli bir zaman diliminde sık tekrar eden talepler (brute force attack) veya anormal IP adreslerinden gelen isteklerden kaynaklanır.

Ayrıca, hata logları (error logs) analize edilmelidir. Bu loglar genellikle sistem hataları, yetki hataları veya doğrulama hatalarının yanı sıra, bilinmeyen yetkisiz erişim girişimleri hakkında da bilgi verebilir. Örneğin:

2022-10-22 10:06:01 [ERROR] User unauthorized access attempt at /admin
2022-10-22 10:06:05 [WARNING] Failed login attempt from 192.168.1.10

Bu mesajlar, sisteme yetki kazanmaya çalışan kötü niyetli etkinlikler konusunda uyarı niteliği taşır.

Görüldüğü üzere, log analizi ve SIEM sistemleri aracılığıyla, Hikvision sistemlerine yönelik bu tür zafiyetler ve potansiyel saldırılar daha etkili bir şekilde tespit edilebilir. Siber güvenlik uzmanlarının dikkat etmesi gereken bir diğer nokta ise, sistemin güncel tutulması ve güncellemelerin düzenli olarak yapılmasıdır. Sisteme gelen güncellemeler genellikle güvenlik açıklarını kapama ve zafiyetleri giderme amacı taşır. Bu bağlamda, zafiyetin tespit edilmesi ve gerekli güvenlik önlemlerinin alınması, organizasyonlar için büyük bir öncelik olmalıdır.

Savunma ve Sıkılaştırma (Hardening)

Hikvision ürünleri, güvenlik ve gözetim sistemleri alanında yaygın olarak kullanılan cihazlardır. Ancak, 2017 yılında keşfedilen CVE-2017-7921 zafiyeti, bu ürünlerdeki düzgün olmayan kimlik doğrulama (improper authentication) sorununu işaret etmektedir. Bu zafiyet sayesinde kötü niyetli bir kullanıcı, sistemde yetki artırma (privilege escalation) gerçekleştirerek hassas bilgilere erişim sağlayabilir. Bu tür bir zafiyet, özellikle büyük ölçekli güvenlik sistemlerine sahip olan şirketler için kritik bir tehdit oluşturur.

Kötü niyetli bir aktör, sistemde uygun şekilde kimlik doğrulayamadan bazı özelliklere erişim sağlayabilir. Örneğin, bir saldırgan, bir Hikvision kameranın arayüzüne yetkisiz olarak erişim sağlarsa, bu cihazın görüntülerine ve diğer gizli bilgilere ulaşma imkanı doğar. Gerçek dünya senaryolarında, bir saldırganın bir inşaat alanındaki güvenlik kameralarına erişim sağladığını düşünelim. Bu durum, iş yerinde gizlilik ihlalleri ve potansiyel hırsızlık vakalarına yol açabilir.

CVE-2017-7921 zafiyetinin etkilerini azaltmak için, güçlü sıkılaştırma önlemleri almak kritik öneme sahiptir. İlk olarak, her cihazın güncel yazılım sürümlerinde (firmware) güncellemeleri kontrol edilmesi gerekir. Hikvision, güvenlik açıklarını adresleyen düzenli güncellemeler yayınlamaktadır. Bu nedenle, sistem yöneticileri ürün yazılımlarını sürekli güncel tutarak olası saldırılara karşı savunmalarını güçlendirebilir.

Ayrıca, firewall (güvenlik duvarı) kuralları ile zafiyetin etkilerini azaltmak mümkündür. Alternatif web uygulama güvenlik duvarı (WAF) kuralları aracılığıyla, gelen isteklerin belirli kriterlere göre değerlendirilmeleri sağlanabilir. Örneğin, aşağıdaki gibi bir kuralla, şüpheli IP adreslerine erişim engellenebilir:

deny from 192.168.1.100

Bu kurallar, belirli bir IP adresinden gelen zararlı istekleri engelleyerek sistemin görünürlüğünü azaltır. Ayrıca, port taraması gibi şüpheli aktiviteleri tespit etmeye yönelik kurallar da eklemek güvenliği artırır.

Kalıcı sıkılaştırma (hardening) önerileri de bu süreçte önemli rol oynar. Kullanıcı hesapları oluşturulurken, yalnızca gerekli izinlerle sınırlı erişim sağlanmalıdır. Örneğin, sistem yöneticisine ait bir hesap olmadan, kullanıcıların sadece ihtiyaç duyduğu verilere erişimi olmalıdır. Ayrıca, her cihazda güçlü şifre politikaları uygulanması, default (varsayılan) şifrelerin değiştirilmesi ve iki faktörlü kimlik doğrulama (2FA) gibi ek güvenlik önlemleri alınmalıdır.

Son olarak, düzenli güvenlik denetimleri yaparak sistemdeki tüm bileşenlerin güvenliği sağlanmalıdır. Penetrasyon testleri (penetration testing) ve zafiyet tarama araçları kullanılarak potansiyel açıklar belirlenmelidir. Böylelikle, sürekli bir güvenlik döngüsü oluşturularak, CVE-2017-7921 gibi zafiyetlerin etkileri en aza indirgenebilir.

Hikvision cihazlarında bulunan CVE-2017-7921 zafiyeti, tüm güvenlik sistemleri için dikkate alınması gereken bir tehdit oluşturuyor. Bu nedenle, yukarıda belirtilen önlemleri alarak, hem siber güvenlik stratejinizi güçlendirebilir hem de olası kötü niyetli saldırılara karşı organizasyonunuzu koruyabilirsiniz.