CVE-2019-9082: ThinkPHP Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

ThinkPHP, PHP tabanlı web uygulamaları geliştirmek için kullanılan popüler bir framework'tür. Ancak, 2019 yılında ortaya çıkan CVE-2019-9082, bu framework'ün içinde barındırdığı ciddi bir zafiyettir. Bu zafiyet, uzaktan kod yürütme (Remote Code Execution - RCE) olanağı tanıyarak kötü niyetli aktörlerin sistem üzerinde tam kontrol sağlamasına olanak verir. Özellikle, bu zafiyetin kullanılabilmesi için herhangi bir kimlik doğrulaması gerekmemesi, saldırganların hedef sistemlerde istedikleri komutları çalıştırmalarını kolaylaştırmaktadır.

Zafiyet, ThinkPHP’nin invokefunction metodunun yanlış yapılandırılması sonucu ortaya çıkmıştır. Saldırganlar, sayfa URL'sinin belirli bir formatta düzenlenmesiyle bu metod üzerinden call_user_func_array ve sonrasında da system komutunu çağırarak çalıştırmak istedikleri komutları sistemde yürütebilmektedir. Örnek bir saldırı komutu aşağıdaki gibi görünmektedir:

http://hedefsite.com/public/?s=index/\think\app/invokefunction&amp;function=call_user_func_array&amp;vars[0]=system&amp;vars[1][]=ls

Bu tür bir saldırı ile, saldırgan hedef sunucunun dosya sistemini görüntüleme, veri çalma veya hatta zararlı yazılımlar yükleyerek sunucuya kalıcı erişim sağlama imkanına sahip olabilmektedir. Zafiyet, farklı sektörlerdeki birçok web uygulamasını etkilemiş ve kamuoyunda geniş bir yankı uyandırmıştır.

CVE-2019-9082'nin etkisi, özellikle büyük veri veya finans sektörlerinde faaliyet gösteren firmalar için kritik olmuştur. Bu sektörlerdeki uygulamalar, genellikle hassas veri işlediği için RCE (uygulama üzerinden uzaktan kod yürütme) gibi bir zafiyetin bulunması, veri ihlalleri ve ciddi finansal kayıplara yol açabilmektedir. Örneğin, bir finansal hizmetler sağlayıcısı, sisteminde bu zafiyeti kapatmazsa, müşterilerine ait finansal verilere kötü niyetli bir şekilde ulaşılabilir ve bu durum firmayı büyük bir itibar kaybına sürükleyebilir.

Zafiyetin kökenine inildiğinde, ThinkPHP’nin güncellenmemiş bir versiyonunun kullanılmasının büyük bir sorun yarattığı görülmektedir. Güncellemelerin zamanında yapılmaması, bu tür zafiyetlerin yanlış ellere geçmesine sebep olabilmektedir. Kötü niyetli kişiler, özellikle bu tür zafiyetleri tespit etmek için otomatikleştirilmiş tarayıcılar kullanarak savunmasız sistemleri hedef alabilmektedir. Bu nedenle, sürekli güncellenmiş ve güvenlik açığı düzeltmeleri içeren bir yapı kullanmak son derece önemlidir.

Sonuç olarak, CVE-2019-9082, uzaktan kod yürütme (RCE) zafiyeti olarak, ThinkPHP kullanan birçok uygulama ve sektörde yaygın bir sorun teşkil etmiştir. Web geliştirme dünyasında, bu tür zafiyetlerin anlaşılması ve önlenmesi, sistem güvenliğinin sağlanması açısından kritik bir öneme sahiptir. Kötü niyetli saldırganların zarar vermesini önlemek için, kullandığınız kütüphanelerin düzenli olarak güncellenmesi ve potansiyel zafiyetlerin sürekli olarak izlenmesi gerekmektedir. Bu yaklaşım, hem bireysel geliştiriciler hem de büyük ölçekli organizasyonlar için büyük önem taşımaktadır.

Teknik Sömürü (Exploitation) ve PoC

ThinkPHP, PHP tabanlı popüler bir web uygulama geliştirme framework'üdür. Ancak, CVE-2019-9082 olarak bilinen bir güvenlik açığı, sistemin zafiyetine sebep olarak uzaktan kod çalıştırma (Remote Code Execution - RCE) imkanı sunmaktadır. Bu makalede, bu zafiyetin nasıl istismar edilebileceğini ve bunu yaparken dikkat edilmesi gereken adımları inceleyeceğiz.

Bu tür bir güvenlik açığına sahip bir uygulamada, saldırgan, belirli bir URL yapısını kullanarak zararlı bir komut enjekte edebilir. Gerçek dünya senaryolarında, saldırganlar genellikle zafiyeti keşfettikten sonra otomatik araçlar veya özel yazılımlar kullanarak hedefleri tararlar. Örneğin, aşağıdaki URL şeklinde bir talep (request) ile istenilen komut çalıştırılabilir:

http://hedef-site.com/public/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=ls

Burada, ls komutu, hedef sunucunun dosya listesini döndürecektir. Saldırganın hedefle yaptığı bu istek, sistem üzerinde komut çalıştırmasına olanak tanır. Adım adım bu süreci inceleyelim.

İlk adım, zafiyeti doğrulamaktır. Bunu yapmak için, aşağıdaki HTTP isteğini hedef sunucuya gönderin:

GET /public/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami HTTP/1.1
Host: hedef-site.com

Bu istek, hedef sistemde hangi kullanıcıyla çalışıldığını gösteren whoami komutunu çalıştıracaktır. Yanıt alındığında, başarılı bir istek yapıldığını doğrulamak için sunucudan alınan cevabı kontrol etmelisiniz.

Eğer bu adım başarılı olduysa, artık hedef sunucunun işletim sisteminde komut yürütme yetkisine sahipsiniz. Aşağıdaki gibi bir Python exploit taslağı ile daha karmaşık komutlar çalıştırabilirsiniz:

import requests

url = 'http://hedef-site.com/public/?s=index/\think\app/invokefunction'
payload = {
    'function': 'call_user_func_array',
    'vars[0]': 'system',
    'vars[1][]': 'uname -a'  # Örneğin, sunucunun işletim sistemini görmek için
}

response = requests.get(url, params=payload)
print(response.text)

Yukarıda kullanılan uname -a komutu, sunucu hakkında bilgi sağlayacak ve işletim sistemi detaylarını döndürecektir. İhtiyacınıza göre daha karmaşık komutlar ekleyerek, örneğin, bir shell tersine bağlantı (reverse shell) açmayı da deneyebilirsiniz.

Güvenlik açığının sömürülebilir olduğunu doğruladıktan sonra, bu açıkla ilgili alınması gereken önlemler de önemlidir. Uygulamanızı güncel tutmak ve zafiyeti kapatmak, bu tür saldırılara karşı en etkili koruma yöntemidir. Önerilen önlemler arasında, uygulamanın en son sürümüne güncellenmesi, güvenlik ayarlarının gözden geçirilmesi ve koruyucu yazılımların kullanılması bulunmaktadır. Ayrıca, uygulamanızda izleme ve kayıt (logging) mekanizmalarını etkin bir şekilde kullanarak, olası saldırıları tespit etmek mümkündür.

Sonuç olarak, CVE-2019-9082 gibi zafiyetler ciddi endişe kaynağı olabilir. Bu nedenle, güvenlik araştırmacıları ve beyaz şapkalı hacker’lar için bu tür zafiyetlerin anlaşılması ve doğru bir şekilde sömürülebilmesi, hem kendi sistemlerinin korunmasına hem de güvenlik açıklarının kapatılmasına yardımcı olabilir. eğitim amaçlı kullanımlarda dikkatli olunmalı ve etik kurallar göz önünde bulundurulmalıdır.

Forensics (Adli Bilişim) ve Log Analizi

ThinkPHP güvenlik açıkları, siber güvenlik alanında sıkça karşılaşılan ve kötü niyetli kişilerin uzaktan kod çalıştırma (RCE - Remote Code Execution) gibi tehlikeli işlemler gerçekleştirmesine kapı aralayabilen önemli sorunlardır. CVE-2019-9082 olarak bilinen zafiyet, bu tür bir tehdidi barındıran örneklerden biridir. Zafiyet, sistemler üzerinde tam yetki ile kötü niyetli komutların çalıştırılmasına olanak tanır ve bu durum, hassas verilerin ele geçirilmesi veya sistemin tamamen kontrolünün kaybedilmesine neden olabilir.

Siber güvenlik uzmanları, bu tür saldırıların belirtilerini tespit edebilmek için günlük dosyalarını (log files) titizlikle incelemelidir. Düşünecek olursak, bir siber saldırgan, ThinkPHP zafiyetini kullanarak sistemdeki bir arka kapıyı açabilir ve daha sonra bu kapıdan içeri sızabilir. Log dosyaları, bu tür faaliyetleri ortaya çıkarmak için en önemli verilerdir.

Özellikle, aşağıdaki günlük dosyalarının analizi önemlidir:

Erişim Günlükleri (Access Log): Burada, sistemdeki her bir isteğin kaydedildiği veriler yer alır. "public//?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system" gibi şüpheli istekler aranmalıdır. Bu tür URL'lerin varlığı, sistemdeki güvenlik açığını kullanmaya çalışan bir kötü niyetli kullanıcı olduğuna işaret olabilir.
Hata Günlükleri (Error Log): Hatalar, genellikle yazılımın beklenmedik davranışlar sergilediği anlarda kaydedilir. Zafiyetin kötüye kullanılması sonucu oluşan hata mesajları dikkatlice incelenmelidir. Örneğin, “E: invokable function not allowed” gibi hata mesajları, birinin izinsiz bir işlev çağrısı yapmaya çalıştığını gösterebilir.

Zafiyetlerin açıklanması sonucunda, siber güvenlik uzmanları şu imzalara (signature) odaklanmalıdır:

Sonuçlanan İstek İmzası: Sistem üzerindeki RCE (Uzak Kod Çalıştırma) zafiyetini test etmek için yapılan isteklerin örneklerini arayın. Bu isteklerde, “invokefunction” ifadesinin yer aldığı URL’ler özellikle incelenmelidir.
Garip PARAMETER veya VARS Kullanımı: "vars[0]=system", "vars[1][]=" gibi parametre isimleri ve değerler üzerinde durulmalıdır. Normalde kullanıcılar için olmayan, sistem çağrıları içeren parametreler, saldırıyı gösterebilir.
Beklenmeyen Dönüş Değerleri: Sistem, belirli bir istek için olağan dışı yanıtlar veriyorsa, bu durum potansiyel bir saldırının belirtisi olabilir. Özellikle, sistemin yanıtlarının norm dışı uzunlukta olması veya beklenmedik yanıt kodları vermesi izlenmelidir.

Somut bir senaryo üzerinden ilerleyecek olursak, düşünelim ki bir şirket, ThinkPHP tabanlı bir web uygulaması işletiyor. Bu uygulama bir gün erişim loglarında yukarıdaki URL bölgesini içeren şüpheli istekler tespit eder. Güvenlik uzmanları, bu tür logları incelediğinde, hızlıca analiz yaparak sistemin zafiyetinden faydalanıldığına dair deliller bulabilir. Ardından, gerekli önlemleri alarak istismarın önlenmesi için yamalar uygulayabilirler.

Sonuç olarak, CVE-2019-9082 gibi açıklar, dikkatli bir analiz ve hızlı bir müdahale gerektiren durumlardır. Siber güvenlik uzmanları, günlük verileri dikkatle inceleyerek benzeri durumları tespit edebilir ve bu sayede sistemlerini koruma altına alabilirler.

Savunma ve Sıkılaştırma (Hardening)

ThinkPHP, PHP tabanlı bir web uygulama çerçevesidir. Ancak, bu çerçevede 2019 yılında keşfedilen CVE-2019-9082 zafiyeti (vulnerability), uzaktan kod yürütme (RCE - Remote Code Execution) sorunlarına sebep olabilmektedir. Bu tür bir güvenlik açığı, saldırganların sistem üzerinde kontrol elde etmesine ve zarar vermesine olanak tanır. Zafiyetin ciddi ve yaygın etkileri olabileceğinden, korunma yöntemlerinin ve sıkılaştırma stratejilerinin uygulanması hayati önem taşımaktadır.

Zafiyet, belirli bir URL yapısı aracılığıyla keşfedilmiş olup, kötü niyetli bir kullanıcı, ThinkPHP uygulamalarındaki belirli işlevleri çağırarak sistemde kod çalıştırabilir. Attığı bir örnek istek şu şekilde olabilir:

public//?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=<komut>

Bu saldırı, özellikle yerleşik komutları çalıştırmak için kullanıldığında ciddi bir tehdit unsuru oluşturur. Saldırganlar, bu açığı kullanarak sistem bilgilerine erişim sağlayabilir, veritabanlarına saldırabilir ve uygulamanın normal işleyişini bozabilir.

Bu tür bir uzaktan kod yürütme zafiyetine karşı alınması gereken önlemler arasında:

Güncel Yazılım Kullanımı: İlk olarak, kullanılan ThinkPHP sürümünün güncellenmiş olduğundan emin olunmalıdır. Üretici, zafiyet giderilene kadar uygulama üzerinde gerekli güncellemeleri sağlamaktadır.
Güvenlik Duvarı (WAF) Kuralları: Web uygulama güvenlik duvarları, belirli kurallar üzerinden gelen trafiği filtreleyerek olası kötü amaçlı istekleri engelleyebilir. Örneğin, ThinkPHP üzerinde aşağıdaki gibi kurallar ekleyerek izinsiz erişimleri önleyebilirsiniz:

   SecRule REQUEST_URI "@contains /think/app/invokefunction" "phase:2,id:1000001,deny,status:403,msg:'Blocked ThinkPHP remote code execution attempt'"

Güvenlik Sertifikalarından Yararlanmak: SSL/TLS (Transport Layer Security) kullanarak, trafiğin şifrelenmesini ve veri bütünlüğünün sağlanmasını sağlamak önemlidir. Bu, man-in-the-middle (MITM) saldırılarına karşı önlem alınmasına yardımcı olur.
Kod Gözden Geçirme ve Selenium ile Otomasyona Dayalı Testler: Programcıların yazdığı kodların gözden geçirilmesi, yazılımın dayanıklılığını artırır. Ayrıca, otomasyon test araçları ile sık sık testler yapmak, güvenlik açıklarını daha erken aşamalarda fark etmenize yardımcı olabilir.
Minimum İzin Prensibi: Kullanıcılar ve uygulamalar için gerekli olmayan izinlerin verilmemesi, saldırganların potansiyel yarar sağlama şansını azaltır. Bu yöntemle, kullanıcılara ve uygulamalara yalnızca gerekli erişimler verilmeli, extra yetkilerden kaçınılmalıdır.
Loglama ve İzleme: Uygulamanın etkinliğini devamlı izlemek, anormallikleri ve olası güvenlik ihlallerini erkenden tespit etme imkanı sunar. Detaylı log kayıtları, olay sonrası analizlerde değerli bilgiler sağlar.

Sonuç olarak, uzaktan kod yürütme zafiyeti gibi ciddi güvenlik açıkları ile mücadele etmek, çok katmanlı bir yaklaşımı gerektirir. Hem yazılım hem de altyapı düzeyinde alacağınız bu önlemler, CyberFlow platformunuzu korumanıza yardımcı olacaktır. Güvenlik, sürekli bir süreç olduğundan, sisteminizin güçlendirilmesi için periyodik olarak gözden geçirmeler yapılmalı ve gerekli güncellemeler hızla uygulanmalıdır.