CVE-2019-5591: Fortinet FortiOS Default Configuration Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Fortinet FortiOS, birçok işletmenin güvenlik ihtiyaçlarını karşılamak üzere tasarlanmış güçlü bir ağ güvenlik çözümüdür. Ancak, CVE-2019-5591 olarak tanımlanan bir zafiyet, bu ürünün varsayılan yapılandırmasının das etkili bir şekilde kullanılmadığı durumlarda güvenlik açıklarına yol açmakta. Bu zafiyetin en dikkat çekici yönü, aynı subnet üzerinde bulunan bir saldırganın, kimlik doğrulaması gerektirmeksizin Lightweight Directory Access Protocol (LDAP) sunucusunu taklit ederek hassas bilgileri ele geçirebilmesidir. Bu açık, özellikle büyük ölçekli işletmelerde ya da çok sayıda kullanıcıya hizmet veren ortamlar için ciddi bir tehdit oluşturmaktadır.

FortiOS’un varsayılan yapılandırması, hafif bir yapılandırmayla kurulumu kolaylaştırmayı amaçlasa da, doğru yapılandırılmadığında güvenlik açıklarına yol açabilir. Bu zafiyetin kök nedeni, ağ üzerinde kötü niyetli bir oyuncunun, LDAP protokol sistemini manipüle ederek kullanıcı isimleri, parolalar ve diğer hassas bilgileri kolayca ele geçirebilme potansiyelidir. Bir ağda, özellikle de bir şirket içinde, bir çalışanın cihazında bu tür bir saldırının nasıl gerçekleşebileceğini düşündüğümüzde, senaryo şu şekilde gelişebilir: Saldırgan, hedef ağda yerel bir bağlantıyla kullanıcı oturum açma bilgilerini toplar. LDAP sunucusunu taklit ederek, kurbanın uygulama ve hizmetlere yapılan isteklerini yönlendirme yeteneğine sahip olur. Bu durumda, kullanıcı yetkilendirmesi bypass (yetkilendirme atlatma) edilerek, saldırganın gizli verilere erişimi sağlanabilir.

Bu zafiyetin etkilediği birçok sektör bulunmaktadır. Özellikle finans, sağlık ve eğitim gibi hassas veri işleyen alanlarda, bir LDAP sahteciliği saldırısı sonucunda kuruluşlar büyük maddi kayıplara ve itibar kaybına uğrayabilir. Örneğin, bir sağlık kuruluşunda hastaların kişisel bilgilerinin ele geçirilmesi, hem yasal sorunlara yol açabilir hem de hasta güvenliğini tehlikeye atabilir. Ayrıca, bu tür bir açık, veri güvenliği standartlarına (GDPR veya HIPAA gibi) uyumsuzluk anlamına gelebilir.

Küresel ölçekte, bu zafiyetin bilinir hale gelmesi, hem güvenlik uzmanlarının hem de yazılım geliştiricilerin bu tür varsayılan yanlış yapılandırmaların tehlikelerini daha dikkatli değerlendirmesine sebep olmuştur. Özellikle siber güvenlik alanında çalışan profesyoneller, sistemlerin güvenliğini sağlamak adına yanlış yapılandırmalara dikkat etmek durumundadır.

FortiOS, bu zafiyetinin varlığını kabul ettikten sonra, gerekli güncellemeleri ve yamaları çıkardı; bu nedenle, kullanıcıların yazılım güncellemelerini takip etmesi elzemdir. Saldırganların bu tür açıkları hedef alırken sadece teknik becerilerine değil, aynı zamanda kullanıcıların yapısal eksikliklerine de güvendiği aşikardır. Bu nedenle, güvenli uygulama geliştirme süreçlerinin yanı sıra, kullanıcıların güvenlik farkındalığını artıracak eğitim programları düzenlenmelidir. Sistemdeki yapılandırmaların düzenli olarak gözden geçirilmesi ve güvenlik testleri yapılması da bu tür zafiyetleri minimize etmek açısından önemlidir.

Sonuç olarak, CVE-2019-5591 zafiyeti, basit gibi görünen bir yapılandırmanın arkasında yatan riskleri göstermektedir. Saldırganların bu tür açıkları kullanmasını engellemek için, Avrupa ve dünya genelinde özellikle büyük veri işleyen şirketler, siber güvenliğe daha fazla yatırım yapmalı ve gerekli önlemleri zamanında almalıdır.

Teknik Sömürü (Exploitation) ve PoC

Fortinet FortiOS, ortaya çıkan zafiyetler nedeniyle siber güvenlik tehditleri açısından dikkate alınması gereken bir sistemdir. CVE-2019-5591 kodu ile bilinen bu zafiyet, FortiOS'un varsayılan yapılandırması nedeniyle, aynı subnet (alt ağ) içindeki bir saldırganın, Lightweight Directory Access Protocol (LDAP) sunucusunu taklit ederek hassas bilgileri ele geçirmesine olanak tanımaktadır. Bu tür zafiyetlerin nasıl sömürülebileceğine dair teknik bir inceleme yapacağız.

İlk olarak, bu zafiyetten yararlanmak için kurbanın bulunduğu ağa erişim sağlamak gerekmektedir. Bu durumda, saldırganın yerel ağda bulunması ve varsayılan ayarları kullanarak yapılandırılan FortiOS cihazlarına sızması hedeflenmektedir. Birçok kullanıcı, bu tür ayarları değiştirmeyi atladığı için, saldırganın bu durumu kullanarak ağa sızması oldukça mümkündür.

İlk adım, ağda bulunan FortiOS cihazlarını taramak olacaktır. Bunu gerçekleştirmek için, nmap gibi bir araç kullanarak ağdaki aktif IP adreslerini tespit edebiliriz:

nmap -sP 192.168.1.0/24

Bu taramanın sonucunda ilgili IP adresini bulduktan sonra, LDAP sunucusunun dinlediği port üzerinde (genellikle 389) bir bağlantı testi yapmalıyız:

nc -zv &lt;target-ip&gt; 389

Bağlantının başarılı olup olmadığını kontrol ettikten sonra, LDAP servisine gönderilecek bir istek hazırlamamız gerekiyor. LDAP sunucusunun istekleri nasıl işlediğine dair bir anlayışa sahip olmak için, LDAP protokolünün temel yapılarını bilmek önemlidir. Saldırgan, bu adımda LDAP sunucusunun kimliğini taklit edecek bir sorgu oluşturmalıdır. Örnek bir LDAP sorgusu şöyle olabilir:

ldapsearch -x -H ldap://&lt;target-ip&gt;:389 -b "dc=example,dc=com" "(uid=*)"

Bu basit istek ile LDAP sunucusuna bağlanmayı ve kullanıcı bilgilerini listelemeyi deniyoruz. Eğer saldırgan, sunucuyu taklit ederse, yerel ağdaki kullanıcı bilgilerine erişim sağlayabilir. Bunun başarılı olabilmesi için, bir LDAP yanıtı oluşturmak ve bu yanıtı kurbanın sistemine iletmek gerekebilir.

Aşağıda, FortiOS LDAP sunucusunu taklit eden basit bir Python örneği verilmiştir:

from ldap3 import Server, Connection, ALL

# LDAP sunucusu bilgileri
server = Server('&lt;target-ip&gt;', get_info=ALL)
conn = Connection(server, user='cn=admin,dc=example,dc=com', password='password', auto_bind=True)

# Kullanıcı bilgilerini alma
conn.search('dc=example,dc=com', '(uid=*)', attributes=['cn', 'mail'])
print(conn.entries)

Bu kod ile saldırgan, hedef LDAP sunucusunun yanıtını taklit edebilir ve hassas bilgilere erişim sağlayabilir.

Son olarak, bu tür bir zafiyetin önüne geçmek için, varsayılan yapılandırmaların değiştirilmesi ve güçlü kimlik doğrulama yöntemlerinin uygulanması gereklidir. Ayrıca, güvenlik duvarı kuralları ve ağ segmentasyonu kullanarak bu gibi saldırılara karşı önleyici tedbirler alınmalıdır. Fortinet FortiOS'taki bu zafiyet, siber tehditlerin arttığı günümüzde çok önemli bir risk oluşturduğundan, güvenlik uygulamalarının sürekli güncellenmesi ve kullanıcıların bilinçlendirilmesi büyük önem arz etmektedir.

Forensics (Adli Bilişim) ve Log Analizi

Fortinet FortiOS üzerindeki CVE-2019-5591 güvenlik açığı, varsayılan bir yapılandırma zafiyeti olarak bilinir. Bu zafiyet, aynı subnet (ağ alt yapısı) içinde yer alan bir kimliği doğrulanmamış saldırganın, LDAP (Lightweight Directory Access Protocol) sunucusunu taklit ederek hassas bilgileri ele geçirmesine olanak tanıyabilir. Özellikle, bir saldırganın güvenli bir ağa erişmek için LDAP sunucusunu taklit etmesi, kullanıcı kimlik bilgileri gibi kritik bilgilerin çalınmasına yol açabilir. Bu tür bir durum, siber güvenlik profesyonellerinin dikkatle incelemeleri gereken bir senaryo sunmaktadır.

Bir siber güvenlik uzmanı, böyle bir saldırının gerçekleşip gerçekleşmediğini SIEM (Security Information and Event Management) veya log dosyalarında tespit edebilmek için çeşitli imzalara dikkat etmelidir. İlk olarak, LDAP ile ilgili log dosyaları detaylı bir şekilde incelenmelidir. Bu loglar, genellikle kimlik doğrulama, yetkilendirme ve bilgi sorgulama işlemlerini içeren kayıtları içerir. Özellikle aşağıdaki türde anormallikler aranmalıdır:

Yetkisiz Erişim Girişimleri: LDAP sunucusuna yapılan girişimlerde, yetkisiz kullanıcıların veya kaynakların sıklığı dikkatli bir şekilde izlenmelidir. Örnek bir log girişini inceleyelim:

   [ERROR] Unauthorized access attempt to LDAP server from IP: 192.168.1.10

Yukarıdaki log kaydı, 192.168.1.10 IP adresinden yapılan bir yetkisiz erişim girişimini gösteriyor. Bu tür kayıtlar, olası bir saldırının işareti olabilir.

Beklenmedik IP Adreslerinden Gelen Talepler: LDAP sunucusuna yapılan isteklerin kaydedildiği loglarda, beklenmedik veya güvenilir olmayan IP adreslerinden gelen talepler de izlenmelidir. Özellikle, ağda bulunan cihazlardan farklı kaynaklardan gelen istekler, bir saldırgana işaret edebilir.
Kimlik Doğrulama Hataları: IAM (Identity and Access Management) süreçlerinde sıkça karşılaşılan kimlik doğrulama hataları da dikkat edilmesi gereken başka bir noktadır. Bu tür hatalar, kötü niyetli bir kullanıcının fazla sayıda başarısız giriş denemesinde bulunduğuna dair bir gösterge olabilir. Aşağıdaki örnek log, bir saldırganın kimlik bilgilerini tahmin etmeye çalıştığını gösterir:

   [WARNING] Failed login attempt for user: admin from IP: 192.168.1.20

Anormal Trafik Modeli: Ağ trafiğini izleyen loglar, anormal trafik paternlerinin tespit edilmesine yardımcı olabilir. Örneğin, LDAP sunucusuna yapılan isteklerin sayısının normalin üzerinde artması, bir LDAP spoofing (taklit) saldırısını işaret edebilir. Örnek bir log kaydı:

   [INFO] High volume of requests to LDAP server from IP: 192.168.1.30

Zamanlama Anormallikleri: Sıklıkla meydana gelen isteklerin zamanlamaları da önemlidir. Eğer belirli bir zaman diliminde (örneğin gece yarısı) yoğun bir şekilde istek gönderiliyorsa, bu durum bir saldırganın mevcudiyetini gösterebilir.

Sonuç olarak, bu zafiyetin istismar edilip edilmediğini anlamak için bir siber güvenlik uzmanı, yukarıda bahsedilen log imzalarını dikkatlice incelemeli ve her türlü anormalliği takip etmelidir. Güvenlik zafiyetlerinin önüne geçmek ve siber savunmayı etkin bir şekilde kuvvetlendirmek için düzenli olarak log analizi yapılması büyük önem taşır. Bunları yaparken, CyberFlow gibi gelişmiş platformlar kullanmak, bu süreçleri daha da kolaylaştırarak, saldırıların erken tespit edilmesine olanak tanıyabilir.

Savunma ve Sıkılaştırma (Hardening)

Fortinet FortiOS, birçok kurumsal yapıda yaygın olarak kullanılan bir işletim sistemi olmasına rağmen, CVE-2019-5591 gibi zafiyetler nedeniyle ciddi güvenlik riskleri barındırabilir. Bu zafiyet, varsayılan yapılandırmaların kötüye kullanılmasına olanak tanır ve yetkisiz bir saldırganın, aynı alt ağda (subnet) bulunması durumunda, hassas bilgilere ulaşabilmesine yol açabilir. LDAP (Lightweight Directory Access Protocol) sunucusunu taklit ederek, saldırgan sistemdeki kullanıcı bilgilerini ve diğer kritik verileri elde edebilir.

Gerçek bir senaryoda, bir otel veya kafe gibi halka açık Wi-Fi alanlarında, kullanıcıların LDAP ayarlarını varsayılan olarak bırakmaları, kötü niyetli bir kişinin bu yapılandırmayı kullanarak sisteme sızmasına olanak tanır. Saldırgan, kullanıcıların kimlik bilgilerini toplamak veya hatta onlara sahte web sayfaları sunmak suretiyle dolandırıcılık yapabilir. Burada, ilk adım olarak saldırganın aynı ağda bulunması gerekmektedir; ancak, günümüzde birçok saldırının bu tür basit yöntemlerle gerçekleştirildiğini unutmamak gerekir.

Bu tür bir zafiyetin etkilerini en aza indirmek için en iyi uygulamalardan birkaçı şunlardır:

Varsayılan Yapılandırmaların Değiştirilmesi: FortiOS varsayılan ayarları hemen değiştirilmelidir. LDAP sunucusu gibi kritik bileşenlerin yapılandırmaları, saldırganlar için bilinen ve kolayca kötüye kullanılabilen bilgiler içerir. Yapılandırmayı özelleştirerek, varsayılan ayarları devre dışı bırakmak önemlidir. Aşağıdaki gibi belirli bir yapılandırma yapmalısınız:
```
config user ldap
    edit "Your_LDAP_Server"
    set server "192.168.X.X"
    set username "cn=admin,dc=example,dc=com"
    set password [your_password]
    set ldap-port 389
next
end
```

Sıkılaştırma Politikalarının Uygulanması: Gelişmiş güvenlik önlemleri almak, LDAP gibi servislerin korunmasına yardımcı olur. Örneğin, yalnızca belirli IP adreslerinden erişime izin veren güvenlik grupları oluşturulmalıdır.

config firewall address
    edit "Allow_LDAP_Access"
    set subnet 192.168.Y.Y 255.255.255.0
next
end

config firewall policy
    edit 1
    set srcintf "internal"
    set dstintf "ldap_interface"
    set srcaddr "Allow_LDAP_Access"
    set action accept
    set schedule "always"
    set service "LDAP"
next
end

Gelişmiş İzleme ve Günlükleme: Güvenlik günlüklerinin oluşturulması ve izlenmesi, herhangi bir şüpheli faaliyet veya saldırıyı hızla tespit etme konusunda önemli bir adımdır. Saldırgan aktiviteleri genellikle belirli bir örüntü gösterir ve bu tür sistemler ile zamanında önlem alınabilmektedir.
Alternatif Firewall Kuralları: Web Uygulama Güvenlik Duvarları (WAF) kullanarak, LDAP üzerinden gelen istekleri filtrelemek mümkündür. belirli başlıkları, parametreleri veya IP adreslerini kontrol eden kurallar ekleyebilirsiniz. Aşağıda, örnek bir WAF kuralı gösterilmiştir:
```
SecRule REQUEST_HEADERS:User-Agent "@streq BadBot" "id:1000001,phase:1,deny,status:403,msg:'Bad Bot Detected'"
SecRule REQUEST_URI "@rx /login\.php" "id:1000002,phase:2,deny,status:403,msg:'LDAP Attack Attempt'"
```
Düzenli Güncellemeler: FortiOS ve tüm ağ cihazlarının yazılım güncellemelerinin düzenli olarak yapılması, sistemin güncel güvenlik yamalarını almasını garanti eder. Zafiyetlerin keşfedildiği an, üreticiler genellikle hızlı bir şekilde yamanın yayınını gerçekleştirir.

Sonuç olarak, CVE-2019-5591 gibi zafiyetlere karşı savunma mekanizmaları kurarken sadece teknik önlemler yeterli olmayabilir; aynı zamanda kullanıcıların bilgilendirilmesi, eğitimleri ve güvenlik kültürünün oluşturulması da kritik bir öneme sahiptir. Siber güvenlik alanında proaktif ve sürekli bir yaklaşım benimsemek, bu tür zafiyetlerin etkilerini minimize etmenin en etkili yoludur.