CVE-2018-0147: Cisco Secure Access Control System Java Deserialization Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2018-0147, Cisco Secure Access Control System (ACS) üzerinde bulunan bir Java serileştirme zafiyeti olup, kötü niyetli bir kullanıcının yetkisiz bir şekilde uzaktan komut çalıştırmasına (RCE - Remote Code Execution) olanak tanımaktadır. Bu zafiyet, yazılımın kullanıcıdan aldığı verilere uygun olmayan bir şekilde serileştirerek işleme almasından kaynaklanmaktadır. Java'nın iç yapısındaki bu zayıflık, siber güvenlik alanında önemli bir tehdit oluşturmuş ve çeşitli sektörlerdeki organizasyonları etkilemiştir.

Zafiyet, özellikle ağ güvenliği ve erişim kontrol sistemlerinin kritik öneme sahip olduğu finans, sağlık ve kamu hizmetleri gibi birçok sektörde etkili olmuştur. Bu tür sistemler, hassas verilere ve süreçlere erişimi kontrol etmekte olduğundan, bir saldırganın bu açıdan yapabileceği kötü niyetli eylemler olasıdır. İlgili zafiyetin, yazılımın serileştirme işlemi sırasında kullanıcıdan gelen verileri yeterince denetlememesi sonucu oluştuğu tespit edilmiştir.

Gerçek dünya senaryolarında, bir saldırgan bu zafiyeti istismar ederek, sistemde yer alan komutları değiştirebilir, veri sızıntısına yol açabilir veya sistemin işleyişine zarar verebilir. Örneğin, bir ağ yöneticisi hangi eylemlerin güvenli olduğunu düşünse de, bu zafiyet sayesinde bir saldırgan, belirli bir komutu sistem üzerinde çalıştırarak erişimi ele geçirebilir. Çeşitli kullanıcıların yetkilerini manipüle edebilir, sistemdeki verileri çalabilir veya kritik altyapılara zarar verebilir.

Bu tür bir zafiyetin etkisini daha iyi anlayabilmek için, örnek bir senaryo düşünelim: Bir finans kurumu, müşterilerinin hesaplarını yöneten bir ACS kullanıyor. Saldırgan, CVE-2018-0147'yi hedef alarak sistemdeki Java serileştirme zafiyetini kullanabilir. Bu aşamada, saldırganın yazılımın kullanıcı girdisini ele geçirmesi ve çalıştırma hakkı elde etmesi mümkün hale gelir. Sonuç olarak, müşteri hesap bilgileri tehlikeye girmiş olur ve kuruma ciddi maddi kayıplar yaşatabilir.

Bu zafiyetin tarihçesi, java serileştirme mekanizmasının güvenlik açığını ele alan bir dizi araştırma ve keşifle başlamaktadır. Cisco, acil durum niteliğindeki güncellemeleri, bu zafiyetin keşfini takiben hızla yayımlamıştır. Sağlanan güncellemeler, yazılımda kullanıcıdan gelen girişlerin düzgün bir şekilde denetimini sağlamayı amaçlamaktadır.

CWE-20 (Input Validation) kapsamında değerlendirilen bu zafiyet, güvenlik açıklarının önlenmesi için yazılım geliştirme sürecinde sağlam bir girdi doğrulama mekanizmasının göz önünde bulundurulması gerektiğini göstermektedir. Yazılım güvenliği açısından dikkatli olunmalı ve potansiyel zayıflıkların tespit edilmesi için düzenli güvenlik testleri yapılmalıdır. Bu bağlamda, biz "White Hat Hacker"lar olarak, organizasyonların güvenlik politikalarını güçlendirmelerine yardımcı olmak için sürekli eğitim ve farkındalık sağlayarak, bilgilendirici içerikler üretmeye devam etmeliyiz.

Teknik Sömürü (Exploitation) ve PoC

CVE-2018-0147, Cisco Secure Access Control System (ACS) üzerinde bulunan ciddi bir Java deserialization (Java serileştirmesi) zafiyetidir. Bu zafiyet, saldırganların yetkisiz bir şekilde cihaz üzerinde her türlü komutu çalıştırmasına olanak verebilmektedir. Zafiyetin kaynağı, yazılımın kullanıcıdan alınan içeriklerin güvensiz bir şekilde serileştirilmesi nedeniyle ortaya çıkmaktadır. Kötü niyetli bir saldırgan, hedef sistemde uzaktan herhangi bir komutu çalıştırmak için bu zafiyeti istismar edebilir.

Bu bölümde, bu tür zafiyetlerin nasıl sömürülebileceğine dair teknik bir inceleme yapacak ve gerçek dünya senaryolarına dair örnekler vereceğiz. Amacımız, beyaz şapka hacker (White Hat Hacker) perspektifinden güvenlik açıklarını anlamak ve potansiyel olarak kötüye kullanılabilecek zafiyetleri nasıl tespit edeceğimizi göstermektir.

İlk adım olarak, hedef sistemdeki zafiyetin varlığını tasdik etmek gerekmektedir. Hedef sistem üzerinde bir HTTP (Hypertext Transfer Protocol) isteği göndererek başlayabiliriz. Bunu yaparken, kötü niyetli bir nesne oluşturarak ve onu hedef sisteme deserialization (serileştirme) edilecek şekilde göndermeliyiz. Aşağıda bu süreç için örnek bir Python betiği bulunmaktadır:

import requests
import pickle

# Kötü niyetli nesnenin yaratılması
class Exploit:
    def __reduce__(self):
        return (os.system, ('id',))

# Saldırı nesnesini oluştur
malicious_object = pickle.dumps(Exploit())

# HTTP isteğini gönder
url = "http://hedef-sistem.com/api/endpoint"  # Hedef URL
headers = {
    "Content-Type": "application/octet-stream"
}

response = requests.post(url, data=malicious_object, headers=headers)

print("Response:", response.text)

Bu kod parçası, 'id' komutunu çalıştırmak üzere hedef sisteme bir kötü niyetli nesne göndermektedir. Hedef URL'yi belirleyerek ve uygun başlıkları ayarlayarak işlemimizi gerçekleştirmiş oluyoruz.

Sistemi anlayabilmek ve daha fazla bilgi almak için hedef sistemin yanıtını inceleyebiliriz. Eğer sistem başarılı bir şekilde zafiyeti algılamamakta ve deserialization işleme sürecinde bir hata ya da mesaj vermiyorsa, bu durumu lehimize kullanabiliriz.

Zafiyetin gerçek dünyadaki etkisini göz önünde bulundurursak, özellikle ciddi veri sızıntıları veya sistemlerin tamamen ele geçirilmesi gibi sonuçlar doğurabilecek durumlarla karşılaşmak mümkündür. Bu tür bir zafiyet, sistemin güvenlik önlemleri tarafından izlenmediği takdirde büyük tehlikeler doğurabilir.

Saldırılar sonucunda elde edilen erişim, korsanların hedef sisteme yükleme yapmasını, sistem bilgilerini çalmasını veya başka zararlı yazılımlar yaratmasını sağlayabilir. Bu nedenle, güvenlik uzmanlarının bu tür zafiyetleri tespit edip sıklıkla test etmeleri oldukça önemlidir.

Son olarak, bu tür zafiyetlerin önlenmesi için güvenlik önlemleri almak ve düzenli olarak sistem güncellemeleri yapmak şiddetle önerilmektedir. Ayrıca, kullanıcı girdilerini asla doğrudan deserialization işlemine tabi tutmamak da önemli bir önlemdir. Özellikle, kullanıcıdan alınan verilerin sıkı bir şekilde doğrulanması ve filtrelenmesi, bu tür zafiyetlerin önlenmesinde kritik bir rol oynamaktadır.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2018-0147 zafiyeti, Cisco Secure Access Control System (ACS) için ciddi bir tehlike oluşturuyor. Bu zafiyet, Java deserialization (Java serileştirme ve serileştirmeden geri alma) sürecinde ortaya çıkıyor. Bir saldırgan, etkilenmiş bir cihazda kullanıcıdan gelen verileri kötü niyetli bir şekilde manipüle ederek herhangi bir komutu çalıştırma şansı elde edebilir. Bu tür durumlar, özellikle ağ güvenliği açısından büyük tehditler oluşturmakta, çünkü saldırgan kimlik doğrulaması olmaksızın harekete geçebiliyor.

Siber güvenlik uzmanları, böyle bir saldırının izlerini bulmak için SIEM sistemleri veya log dosyalarını inceletmelidir. Başlangıç noktası, kullanıcı girişlerini ve sistem etkinliklerini detaylı bir şekilde analiz etmektir. Özellikle access log (erişim kaydı) ve error log (hata kaydı) dosyaları kritik öneme sahiptir.

Log analizine başlarken, ilk dikkat edilmesi gereken husus, log dosyalarındaki anormal aktivitelerdir. Örneğin, sıradışı IP adreslerinden gelen istekler veya çok sayıda başarısız oturum giriş denemesi, bir saldırının olabileceğini gösterebilir. Log dosyalarında "Unexpected HTTP Method" veya "Additional Data" gibi terimlerin araması, bu tür anormal durumları tespit etmede yol gösterici olabilir.

Ayrıca, sistem loglarında "deserialization exception" veya "java.lang.ClassNotFoundException" gibi hataların varlığı, Java deserialization açıklarının istismar edildiğine dair kaygı verici bir işaret olabilir. Bir örnek üzerinden açıklamak gerekirse, aşağıdaki gibi bir kod parçası saldırıya uğramış bir Java uygulamasının log kaydında görülebilir:

ERROR [http-nio-8080-exec-3] o.a.catalina.core.StandardContext - Servlet.service() for servlet [dispatcherServlet] in context with path [/app] threw exception [java.lang.ClassNotFoundException: com.attacker.malicious] with root cause
java.lang.ClassNotFoundException: com.attacker.malicious

Bu gibi hatalar, saldırının başarıyla gerçekleştirilmesi sonucunda ortaya çıkabilir. Ayrıca, log analizi sırasında göz önünde bulundurulması gereken diğer kritik imzalar arasında "Execution of unauthorized command" veya "Command injection detected" gibi bildirimler yer almaktadır.

Siber güvenlik uzmanları, log analizi sırasında şüpheli IP adreslerini de incelemeli ve özellikle durdurulmuş veya kapalı olan sayfalara yönlendiren istekleri kontrol etmelidir. Bu tür yönlendirmeler, bir saldırganın güvensiz bir nesne üzerinden komut yürütmeye çalıştığını gösterebilir.

Bunun yanı sıra, veritabanlarına yönelik SQL injection (SQL enjeksiyonu) ve diğer giriş denemeleri gibi olası açılara karşı da dikkatli olunmalıdır. Saldırıların önüne geçmek için, logların düzenli bir şekilde tutulması ve analiz edilmesi, potansiyel zafiyetlerin tespit edilmesi açısından hayati önem taşır.

Sonuç olarak, siber güvenlik uzmanlarının CVE-2018-0147 gibi zafiyetleri anlaması ve tespit etmesi için dikkatli bir log analizi yapması şarttır. Sistemlerin güvenliğini sağlamak için, durumun erken yönetilmesi ve doğru imza ile anormalliklerin tespit edilmesi gerekmektedir. Bu tür önlemler, hem saldırılar sonrası oluşacak potansiyel zararı en aza indirmek hem de sistemlerin bütünlüğünü korumak adına kritik bir rol oynamaktadır.

Savunma ve Sıkılaştırma (Hardening)

Cisco Secure Access Control System (ACS) üzerinde bulunan CVE-2018-0147 zafiyeti, siber güvenlik dünyasında dikkat edilmesi gereken önemli bir sorunu işaret etmektedir. Bu zafiyet, bir kötü niyetli saldırganın, kullanıcı tarafından sağlanan içeriklerin güvenli bir şekilde deseralize edilmemesi sebebiyle, hedef sistemde uzaktan kötü amaçlı komutlar çalıştırmasına olanak tanımaktadır. Bu tür bir saldırı, uzaktan kod çalıştırma (RCE - Remote Code Execution) ile sonuçlanabilir ve ciddi veri ihlalleri veya sistem kesintilerine neden olabilir.

Zafiyet, özellikle bir Java deserialization (Java deseralizasyonu) hatasını hedef alarak, cihaza erişim sağlamak için kimlik doğrulama gerektirmeksizin istismar edilebilir. Bu durum, bir saldırganın aracılığıyla güvenlik duvarını (WAF - Web Application Firewall) atlayarak iç ağa geçiş yapabilmesini tehlikeli bir şekilde kolaylaştırır.

Zafiyeti kapatmanın yolları arasında, sistemdeki Java uygulamalarının düzgün deseralizasyonu sağlamak önemlidir. Birincil hedef, veri kaynağını güvenilir bir şekilde sınırlandırmak ve kullanıcıdan gelen her tür verilinin dikkatlice işlenmesini sağlamaktır. Bunun için aşağıdaki adımlar izlenebilir:

Güvenli Deserialization Kullanımı: Kullanıcıdan gelen verilerin deseralize edilmeden önce kimlik doğrulama ve yetkilendirmeden geçirilmesi gerekmektedir. Bu süreçte, yalnızca bilinen ve güvenilir yollarla elde edilen veriler işlenmelidir.
Kod İnceleme: Uygulama kodlarını gözden geçirerek deserialization işlemlerinin nerelerde kullanıldığını tespit edin. Bu kısımlarda güvenlik kontrolleri (input validation) eklemek, sistemin güvenliğini artıracaktır. Aşağıdaki örnek, güvenli bir deserialization işlemi gerçekleştirmek için bir kontrol sistemini göstermektedir:

   public MyObject safeDeserialize(byte[] data) {
       if (!isValidData(data)) {
           throw new IllegalArgumentException("Geçersiz veri");
       }
       try (ObjectInputStream ois = new ObjectInputStream(new ByteArrayInputStream(data))) {
           return (MyObject) ois.readObject();
       } catch (IOException | ClassNotFoundException e) {
           throw new RuntimeException("Deserialization hatası", e);
       }
   }

Firewall ve WAF Kuralları: Güvenlik duvarınızı (firewall) ve uygulama güvenlik duvarını (WAF) doğru yapılandırmak, potansiyel saldırılara karşı hızlı bir önlem almanızı sağlayacaktır. Örneğin, aşağıdaki gibi belirli HTTP başlıklarını kontrol eden kurallar eklemek, tehlikeli payload’ların (yüklerin) sistem üzerine iletilmesini önleyecektir:

   SecRule REQUEST_HEADERS "^(User-Agent|Accept|Host): /.*" "id:12345, phase:1, deny, status:403"

Güncellemeler ve Patching: Yazılım güncellemeleri, güvenlik açıklarını kapatma konusunda kritik bir rol oynamaktadır. Cisco’nun sağladığı güncellemeleri düzenli olarak kontrol edin ve uygulamanızı her zaman en son sürümde tutun.
Güvenlik Duvarı (Firewalls) ve İzleme Araçları Kullanımı: Saldırı yüzeyinizi azaltmak için iç ağ trafiğinizi izlemek ve anormallikleri tespit etmek üzere güvenlik monitörleme araçları kullanın. Bu tür araçlar, potansiyel bir saldırıyı hedef sistem üzerinde gerçekleştirilmeden önce engellemenizi sağlar.

Son olarak, Cisco Secure Access Control System (ACS) gibi kritik sistemleri korumak adına siber güvenlik en iyi uygulamalarını sürekli olarak gözden geçirmek ve güncel tutmak hayati öneme sahiptir. Bu noktada, teknoloji ve tehdit manzarasında yaşanan değişimleri takip etmek ve ileri düzey güvenlik önlemlerini entegre etmek, güvenlik seviyenizi gözle görülür bir şekilde artıracaktır.