CVE-2018-13379: Fortinet FortiOS SSL VPN Path Traversal Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2018-13379, Fortinets'in FortiOS geliştirme platformunda yer alan kritik bir SSL VPN (Secure Sockets Layer Virtual Private Network) yol gezintisi (path traversal) güvenlik açığıdır. Bu zafiyet, sisteme yetkisiz erişim sağlayarak kötü niyetli kullanıcıların kritik sistem dosyalarına ulaşmasını mümkün kılmaktadır. FortiOS, çok sayıda işletme ve kuruluşun ağlarına güç veren bir güvenlik çözümü olduğundan, bu güvenlik açığının etkileri oldukça geniş çaplı olmuştur.

Güvenlik açığı, FortiOS’un SSL VPN web portalındaki bir yetersizlikten kaynaklanmaktadır. Nisan 2018'de keşfedilen bu açık, bir saldırganın belirli HTTP kaynak talepleri aracılığıyla FortiOS sistem dosyalarını indirmesine yol açabilmektedir. Bu tür bir açık, kötü niyetli saldırganların sistem dosyalarına erişim sağlamasına ve bu dosyalardan yararlanarak daha büyük saldırılar (örneğin, uzaktan kod çalıştırma (RCE - Remote Code Execution) ve kimlik doğrulama atlaması (Auth Bypass) gibi) gerçekleştirmesine olanak tanır.

Zafiyetin teknik detayları incelendiğinde, CWE-22 (Path Traversal) üzerinde durmamız gerekiyor. Path Traversal, bir uygulamanın dosya sistemi etkinliklerini kontrol etmede yetersiz olduğunda gerçekleşen bir durumdur. Bu durum, kullanıcının istemeden sistem dizinlerinde gezinmesine, potansiyel olarak hassas verileri ifşa etmesine neden olabilmektedir. Fortinet’in SSL VPN portalı, uygun bir şekilde doğrulanmamış kullanıcıların dosya sistemine erişim sağlamasına imkan tanıyan bir hataya sahipti.

Dünya genelinde birçok sektör bu güvenlik açığından etkilenmiştir. Sağlık, finans, eğitim ve kamu sektörü gibi alanlar, Fortinet çözümleri kullanmakta olan kurumlar arasında yer alır. Özellikle sağlık sektöründe bulunan hastaneler ve finansal kuruluşlar, hassas verileri korumak konusunda büyük bir sorumluluk taşırlar. Bu tarz zafiyetler, kötü niyetli kişilerin hasta kayıtlarına veya finansal verilere erişim sağlamasına olanak tanıyabileceği için büyük riskler taşımaktadır.

Örnek bir senaryo üzerinden düşünelim: Bir finans kurumunun SSL VPN portalı, CVE-2018-13379 ile etkileniyor olsun. Saldırgan, özel bir HTTP isteği ile iç dizinlere erişebilir ve burada yer alan yapılandırma dosyalarını indirebilir. Bu yapılandırma dosyaları, şifreler, erişim belirteçleri ve diğer hassas bilgileri içerebileceğinden, bu verilerin kötüye kullanılması durumunda büyük finansal kayıplar yaşanabilir.

Kendimizi bu tür zafiyetlerden korumak için, Fortinet tarafından sağlanan yazılım güncellemelerini ve yamaları uygulamak kritik öneme sahiptir. Ayrıca, ağ güvenlik duvarları ve tehdit önleme çözümleri kullanarak, bu tür olası saldırıları önceden tespit etmek ve önlemek için gerekli önlemleri almak da gereklidir. Güvenlik açığının etkilerini minimize etmek adına, tüm sistem yöneticilerinin bu tür zafiyetleri yakından takip etmesi ve gerekli önlemleri alması önemlidir.

Sonuç olarak, CVE-2018-13379 gibi yol gezintisi (path traversal) açıkları, hassas verilere erişim sağlamak konusunda kötü niyetli bireyler için bir kapı açmaktadır. Güvenlik zafiyetlerinin üstesinden gelmek ve sistemleri korumak amacıyla sürekli olarak güncel kalmak ve en iyi güvenlik uygulamalarını benimsemek gereklidir.

Teknik Sömürü (Exploitation) ve PoC

Fortinet FortiOS üzerinde bulunan CVE-2018-13379 zafiyeti, özellikle SSL VPN web portalında yer alan bir path traversal (yol geçişi) açığıdır. Bu zafiyet, yetkisiz bir saldırganın, belirli HTTP kaynak talep etmiş olduğu bir yöntemle FortiOS sistem dosyalarını indirmesine olanak tanır. FortiOS, genellikle şirketlerin güvenlik altyapılarını yöneten bir işletim sistemi olduğu için, bu tür bir zafiyetin ciddi sonuçları olabilir.

Sömürü Bileşenleri

Zafiyetin sömürü süreci genellikle üç ana adımdan oluşur: zafiyetin keşfi, zafiyetin istismarı ve daha sonrasında elde edilen bilgilerin kullanılması.

1. Zafiyetin Keşfi: İlk adım, hedef FortiOS sürümünün güvenlik açıklarını kontrol etmektir. Bu zafiyet, genelde eski sürümlerde bulunur ve kurumsal ağların güvenliği için kritik bir tehdit oluşturur. Hedef sistemin versiyonunu öğrenmek için şu HTTP talebini yapabilirsiniz:

   GET /?v=version HTTP/1.1
   Host: hedef-sunucu

2. Zafiyetin İstismarı: Eğer hedef sistemde zafiyet olduğunu tespit ettiyseniz, path traversal saldırısını gerçekleştirmek üzere hazırlanmalısınız. Bu aşamada, "/../" dizin geçiş karakterlerini kullanarak sistem dosyalarına erişim sağlamak için HTTP talepleri düzenleriz. Örneğin:

   GET /remote/../..//etc/passwd HTTP/1.1
   Host: hedef-sunucu

Bu talep, hedef sistemin kök dizinine erişim sağlayacak ve oradaki "passwd" dosyasını indirecek. Eğer başarılı olursanız, sistemde var olan kullanıcı bilgilerine ve diğer hassas verilere ulaşabilirsiniz.

3. Elde Edilen Bilgilerin Kullanılması: Söz konusu bilgilere ulaştıysanız, bu verileri kullanarak daha fazla istismar gerçekleştirebilir veya sistem üzerinde daha derinlemesine bir saldırı planlayabilirsiniz. Örneğin, "passwd" dosyasındaki kullanıcı adlarını ve hash'lerini kullanarak bir brute-force (kaba kuvvet) saldırısı düzenleyebilir ve kullanıcı hesaplarına erişim sağlayabilirsiniz.

Potansiyel Riskler ve Önlemler

FortiOS'un bu zafiyetinin istismarı, Gelişmiş Persistent Threat (APT) türü saldırılara zemin hazırlayabilir. Saldırganlar, sistemin güvenliğini tehlikeye sokarak hassas bilgilere ulaşabilir ve bu bilgileri karanlık ağda satabilir. Bu tür veri sızıntıları, finansal kayıplara ve itibar kaybına yol açabilir.

Bu nedenle, Fortinet sistemlerinin güncel tutulması, zafiyet tarama araçlarının kullanılması ve gerektiğinde güvenlik yamalarının uygulanması özellikle önemlidir. Zafiyetlerin önlenmesi açısından, sadece güncellemeleri uygulamak yeterli değildir; aynı zamanda ağ yapılandırmalarının ve erişim kontrollerinin de gözden geçirilmesi gerekmektedir.

Sonuç olarak, CVE-2018-13379, bir siber güvenlik uzmanı veya beyaz şapka hacker (White Hat Hacker) olarak dikkate almanız gereken önemli bir zafiyettir. Söz konusu açığı nasıl keşfedeceğinizi ve sömürebileceğinizi anlamak, sadece sisteme karşı saldırılar düzenleyen kötü niyetli kişilere karşı değil, aynı zamanda ağlarınızı koruma konusundaki yetkinliğinizi artırmak için de gereklidir.

Forensics (Adli Bilişim) ve Log Analizi

Fortinet FortiOS'ta bulunan CVE-2018-13379 zafiyeti, siber güvenlik alanında ciddi bir endişe kaynağı olmuştur. Bu zafiyet, FortiOS SSL VPN web portalında bir path traversal (yol geçişi) açığı olduğunu gösterir. Saldırgan, özellikle tasarlanmış HTTP istekleri aracılığıyla, kimlik doğrulaması olmadan FortiOS sistem dosyalarını indirebilir. Bu tür bir zafiyetin kurumsal sistemlerde yarattığı riskler, kaybedilecek veriler ve sistemin güvenliği açısından oldukça büyüktür.

Siber güvenlik uzmanları, bu tür bir saldırının yapıldığını tespit etmek için SIEM (Security Information and Event Management - Güvenlik Bilgisi ve Olay Yönetimi) çözümlerini ve log dosyalarını (Access log ve error log gibi) analiz etmelidir. Log analizi, siber güvenlik ihlallerinin tespitinde önemli bir rol oynar. Özenle incelenmesi gereken bazı imzalar (signature) bulunmaktadır.

Öncelikle, access log (erişim kaydı) dosyalarında, sunucuya yapılan isteklerin detaylarına bakmak gerekir. Özellikle, aşağıdaki durumları göz önünde bulundurmak faydalıdır:

1. Hedef URL: Zafiyetten faydalanmak isteyen bir saldırgan, genellikle bir dosya yolu içerisine ../ ifadelerini yerleştirerek, sunucuda bulanan sistem dosyalarına erişim sağlamaya çalışır. Dolayısıyla, log dosyalarında bu tür şüpheli isteklerin varlığı önemli bir gösterge olabilir. Örnek bir erişim isteği şu şekilde olabilir:

   GET /remote/fgt_pass/../../../../../../etc/passwd HTTP/1.1
   

   Bu tür yolları inceleyerek, sistem dosyalarına erişimde bulunulup bulunulmadığını anlamak mümkündür.

2. Gizin Kodu: Zafiyetin kazanılması sırasında, saldırganın genellikle sistem dosyalarını elde etmek üzere gerçekleştirdiği işlemlerin dikkat çekici bir özelliği vardır. Örneğin, aynı IP adresinden çok sayıda şüpheli istek yapılması durumunda, bu durumun göz önünde bulundurulması gereken bir başka imza olduğu söylenebilir.

3. HTTP Yanıt Kodları: Log dosyalarında 200 (başarı) dışında, 403 (yasak) ve 404 (bulunamadı) hata kodlarına bakmak önemlidir. Bu hata kodları, genellikle bir saldırganın dosya erişimi sağlama çabası sırasında ortaya çıkar ve sistem yöneticisinin dikkatini çeker.

Bir diğer önemli nokta, error log (hata kaydı) dosyalarının incelenmesidir. Bu dosyalar, sunucu tarafından yapılan hatalı isteklerle ilgili ayrıntılar sunar. Eğer loglarda sıklıkla File not found ya da Permission denied hataları gözlemleniyorsa, bu durum bir saldırının izini sürebilmek için başka bir ipucu sunabilir.

Özellikle, CVE-2018-13379 zafiyetinin siber saldırılarında, uzaktan kod yürütme (RCE - Remote Code Execution) veya yetki atlama (Auth Bypass - Kimlik Doğrulama Atlama) gibi daha karmaşık doğrulama zafiyetlerinin bir araya getirilmesi mümkündür. Bu nedenle, sistem yöneticileri, ilgili logları sürekli olarak aktif bir şekilde incelemeli ve potansiyel tehditleri güncel tehdit istihbaratı ile birleştirerek değerlendirmelidir.

Sonuç olarak, CVE-2018-13379 zafiyetinin anlaşılması ve log analizinin etkin kullanımı, güvenlik ekiplerinin bu tür saldırıları önlemek için hayatidir. Siber güvenlik uzmanları, gelişmiş log analizi tekniklerini kullanarak bu tür tehditleri zamanında tespit edebilir ve gerekli önlemleri alabilir. Bu da onları potansiyel veri ihlallerine karşı daha güçlü bir savunmaya sahip kılar.

Savunma ve Sıkılaştırma (Hardening)

Fortinet FortiOS, dünya genelinde birçok işletmenin güvenliğine katkı sağlarken, zaman zaman keşfedilen zafiyetler bu güvenliği tehlikeye atabilir. CVE-2018-13379 olarak bilinen SSL VPN Path Traversal (Yol Geçişi) açığı, kötü niyetli bir saldırganın, FortiOS sistem dosyalarına erişim sağlamasına imkan tanımaktadır. Bu açıktan etkilenmek, sistemin gizli bilgilerini ifşa edebilir ve kritik güvenlik risklerine yol açabilir. Dolayısıyla, bu tür zafiyetler karşısında etkili önlemler almak ve sıkılaştırma (hardening) yapmak son derece önemlidir.

Açığın teknik detaylarına inmeden önce, yol geçişi zafiyetinin nasıl işlediğini anlamak kritik önem taşır. Bu tür zafiyetler, genellikle bir uygulamanın dosya ve dizin yapısında gezinmeyi sağlayan işlevsellikleri hedef alır. Başarılı bir yol geçişi saldırısında, kötü niyetli kullanıcılar sistem üzerinde hassas bilgilere erişim sağlayabilir. Gerçek dünyada bu tür bir saldırı, bir şirketin müşteri verilerini, iç protokollerini veya sistem yapılandırmalarını ele geçirme yolunda kullanılabilir. Örneğin, bir saldırgan, belirli dosyaların içeriğini elde ederek, sistemde daha derinlemesine bir saldırı başlatabilir.

Bu tür zafiyetlere karşı alınacak önlemler arasında şu adımlar yer alır:

1. Güncellemelerin Uygulanması: FortiOS sisteminin güncel tutulması, zafiyetleri minimize etmenin en temel yollarından biridir. Fortinet, keşfedilen zafiyetler için düzenli güncellemeler yayınlar. Bu güncellemelerin zamanında uygulanması, açıkların kapatılması ve sistemin güvenliğini artırması açısından kritik öneme sahiptir.

2. Firewall ve WAF Kuralları: Uygulama güvenlik duvarını (WAF) kurarak, sağlanan HTTP isteklerini gözlemlemek ve anormal davranışları tanımlamak mümkündür. WAF kuralları çerçevesinde dosya ve dizin adlarında path traversal karakterlerinin (örneğin, "../") kullanımını engellemek için aşağıdaki gibi kurallar oluşturulmalıdır:

SecRule Request_URI "@beginsWith /your_target_path" "id:100001, phase:request, t:lowercase, pass, nolog, ctl:ruleRemoveById=981176"

Bu kural, belirli bir dizin yapısı üzerinden gelen isteklerin kontrol edilmesine olanak tanır ve potansiyel yol geçişi denemelerini engeller.

3. Erişim Kontrolü ve Yetkilendirme: VPN arayüzüne erişimi sıkı bir şekilde kontrol etmek de önemlidir. Kullanıcıların yalnızca ihtiyaç duydukları kaynaklara erişim sağlaması için en düşük ayrıcalık ilkesi (Least Privilege Principle) uygulanmalıdır.

4. Loglama ve İzleme: Tüm ağ trafiği ve uygulama loglarının izlenmesi, olası saldırıların tespit edilmesinde önemli bir rol oynamaktadır. Log yönetim sistemleri, anormal aktiviteleri tespit etmek ve saldırıları önceden engellemek için kullanılabilir.

5. Güvenlik Testleri: Penetrasyon testleri (Pentest) ve sızma testleri, bir sistemin zafiyetlerini açığa çıkarma konusunda değerli bir araçtır. Bu tür testler, olası sistem açıklarını belirlemenize ve düzeltici önlemler almanıza olanak sağlar.

Zafiyet içeren bir sistemin güvenliğini sağlamak, sadece bir tekil çözüm ile değil, birden fazla katmanda uygulanacak tedbirlerle mümkün olacaktır. FortiOS gibi kritik bir sistemde yol geçişi zafiyetini önlemek için yukarıda belirtilen sıkılaştırma adımlarının hepsinin entegrasyonu büyük önem taşır. Unutulmamalıdır ki, güvenlik, sürekli olarak güncellenmesi ve iyileştirilmesi gereken dinamik bir süreçtir.