CVE-2020-10148: SolarWinds Orion Authentication Bypass Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2020-10148, SolarWinds Orion ürününde bulunan bir kimlik doğrulama atlatma (Auth Bypass) açığıdır. Bu zafiyet, kullanıcının kimlik doğrulama sürecini atlayarak uzaktan API komutları çalıştırmasına olanak tanır. SolarWinds Orion, ağ yönetimi ve izleme araçlarıyla tanınan bir yazılımdır ve pek çok farklı sektörde, özellikle de BT altyapı yönetiminde yaygın olarak kullanılmaktadır. Bu zafiyetin ortaya çıkışı, 2020 yılının başlarında fark edilmiş olup, kötü niyetli aktörler için önemli bir fırsat sunmuştur.

Zafiyetin teknik detaylarına dair incelenmesi, SolarWinds Orion API'sinin içinde yer alan bir kütüphanede hata olmasıyla ilişkilidir. Özellikle, authentication token (kimlik doğrulama token'ı) gereksinimi başta doğru şekilde uygulanmamış, bu da kötü niyetli aktörlerin, güvenlik önlemlerini aşıp sisteme erişmelerini sağlayan bir açık kapı bırakmıştır. Bu tür bir zafiyet, bilinçli ya da bilinçsiz bir şekilde sistem yöneticileri tarafından fark edilmezse, uzaktan kod çalıştırma (Remote Code Execution - RCE) ile sonuçlanabilir.

Bu durum, bir saldırganın kurumsal ağ üzerinde tam kontrol sağlamasına, gizli verilere erişimine ve hatta cihazlara zararlı yazılımlar yüklemesine yol açabilir. Özellikle finans, sağlık ve hükümet alanları gibi kritik sektörlerdeki etkisi, çok daha geniş kapsamlı olabilir. Örneğin, bir finansal kuruluşta bu tip bir zafiyetin istismar edilmesi, müşteri bilgilerini tehlikeye atabilir ve dolandırıcılık eylemlerine kapı açabilir.

CVE-2020-10148, dünya genelindeki birçok kuruluşu etkileyen bir zafiyet olarak kayıtlara geçmiştir. İlk olarak, siber güvenlik araştırmacıları tarafından tespit edilen bu açık, SolarWinds’in kullanıcı tabanında endişe yarattı. Bununla birlikte, bu tür zafiyetlerin varlığı, Proaktif Risk Yönetimi (PRM) ve siber güvenlik önlemlerinin önemi bir kez daha ortaya koymuştur.

Kötü niyetli bir aktör, zafiyetten yararlanmak için basit bir deneme ile sisteme girebilir. Örneğin, bir saldırgan, aşağıdaki gibi bir HTTP isteği göndererek kimlik doğrulama sürecini atlatabilir:

POST /api/executeCommand HTTP/1.1
Host: solarwinds_orion_instance
Content-Type: application/json

{
    "command": "malicious_command_here"
}

Bu basit HTTP isteği, zafiyetten yararlanarak, kimlik doğrulama gereksinimini göz ardı edip, kötü niyetli bir komut çalıştırabilir. Zafiyetin önlenmesi açısından, SolarWinds gibi sistem yöneticisi ve analistlerin, API güvenliği konusunda daha fazla bilgi edinmeleri ve güncellemelerle ilgili olarak dikkatli olmaları büyük önem taşımaktadır.

Bunun yanı sıra, güvenlik güncellemeleri ve yamalar düzenli olarak uygulanmalı, bu tür açıkların ortaya çıkmasına neden olabilecek kötü niyetli aktiviteler için sürekli bir izleme yapılmalıdır. Unutulmamalıdır ki bir zafiyetin yalnızca teknik yönleri değil, aynı zamanda organizasyonel duruma ve kullanıcı alışkanlıklarına bağlı sonuçları da göz önünde bulundurulmalıdır.

Teknik Sömürü (Exploitation) ve PoC

SolarWinds Orion API'deki CVE-2020-10148 güvenlik açığı, kötü niyetli bir saldırganın API komutlarını yürütmesine olanak tanıyan bir kimlik doğrulama atlatma (authentication bypass) zafiyeti barındırıyor. Bu zafiyet, özellikle büyük işletmelerin kritik sistemlerini etkileyebilecek seviyede bir tehlike taşımaktadır. Bir güvenlik uzmanı olarak, bu tür bir zafiyetin sömürü aşamalarını ayrıntılı bir şekilde incelemek önemlidir.

İlk olarak zafiyetin keşfi aşamasıyla başlayalım. SolarWinds Orion API'yi incelediğimizde, kimlik doğrulama bilgilerinin eksik ya da zayıf kontrolünün bulunduğu noktaları tespit etmemiz gerekiyor. Bu bağlamda, API'ye gönderilecek uygun HTTP isteklerini oluşturmak önemli bir aşamadır.

Zafiyeti sömürmek için aşağıdaki adımları izleyebilirsiniz:

Hedef API’yi Belirleme: İlk adım, hangi SolarWinds Orion API anlık olarak zayıf olduğunu belirlemektir. Genellikle bu tür API'ler, belirli bir önceden belirlenmiş portlar üzerinden çalışmaktadır (genellikle 443 veya 80).
Kimlik Doğrulama Yapmadan Üst Bilgi İncelemesi: API’ye kimlik doğrulama bilgisi göndermeden erişim sağlamaya çalışarak hangi bilgilerin kamuya açık olduğuna dair ipuçları edinmek önemlidir.

Aşağıda, bu tür bir HTTP isteği örneği bulunmaktadır:

GET /api/v1/SomeEndpoint HTTP/1.1
Host: target-solarwinds-api.com
Connection: keep-alive
User-Agent: Mozilla/5.0
Accept: application/json

Yanıtların İncelenmesi: Eğer API’ye hiçbir kimlik doğrulama olmadığını ya da zayıf bir kimlik doğrulama uygulamasını keşfettiyseniz, sunucudan dönen yanıtları dikkatlice incelemek gerekiyor. Yanıtların içerikleri üzerinde çalışarak, hangi komutların yürütülebileceğine dair bilgiler edinebilirsiniz.
Sömürü Aşaması: Zafiyeti sömürmek için, hedef API üzerinde herhangi bir işlem yapabilmek adına API komutlarını kullanabilirsiniz. Bu aşamada API komutlarını çalıştırmayı hedefliyoruz.

Bir Python taslağında aşağıdaki gibi bir kod kullanılabilir:

import requests

url = "https://target-solarwinds-api.com/api/v1/SomeSensitiveEndpoint"
headers = {
    "User-Agent": "Mozilla/5.0",
    "Accept": "application/json"
}

response = requests.get(url, headers=headers)

if response.status_code == 200:
    print("Başarıyla erişildi:")
    print(response.json())
else:
    print("Erişim sağlanamadı, durum kodu:", response.status_code)

Elde Edilen Bilgilerin Kullanımı: Kimlik doğrulama bypass'ı (auth bypass) yaptıktan sonra, elde edilen bilgilerle sistem üzerinde daha fazla yetki elde etmeye çalışabilirsiniz. Örneğin, sistem konfigürasyonlarına veya kullanıcı verilerine erişim sağlamak.

Son olarak, bu tür bir zafiyeti kullanmak etik olmayan bir davranış olup, yalnızca izinli güvenlik testleri için yapılmalıdır. SolarWinds Orion API gibi kritik sistemler, bu tür açıkların kapatılması için sürekli güncellenmeli ve güvenlik testlerine tabi tutulmalıdır. Zafiyetin farkına varılması, kurumların güvenlik güncellemeleri ve bu tür açıkların önüne geçmesinde büyük rol oynamaktadır. White Hat hacker'lar olarak amacımız, bu tür açıkları tespit edip, güvenlik önlemlerinin alınmasına yardımcı olmaktır.

Forensics (Adli Bilişim) ve Log Analizi

SolarWinds Orion'daki CVE-2020-10148 zafiyetine yönelik dikkatli bir inceleme yapmak, bir siber güvenlik uzmanı için son derece önemlidir. Bu tip güvenlik açıkları, siber saldırganların uzaktan sistemlere erişim sağlamasına ve kritik API komutlarını çalıştırmasına zemin hazırlayabilir. Dolayısıyla, bu zafiyetin tespiti ve analizi, adli bilişim ve log analizi süreçlerinde kritik bir rol oynamaktadır.

Bu tür bir zafiyetin varlığını tespit etmek için en önemli adımlardan biri, log dosyalarını (log files) ve SIEM (Security Information and Event Management) sistemlerini gözden geçirmektir. Öncelikle, Access log'lar (erişim günlükleri) üzerinde yoğunlaşmak önemlidir. Bu loglar, sistemime kimlerin eriştiğine dair bilgileri içermektedir. Özellikle, beklenmeyen veya yetkisiz IP adreslerinin sistemdeki aktivite sürekliliği yaratması izlenmelidir.

Log verilerine bakarken, şüpheli IP adreslerinin sıkça veya beklenmedik zaman aralıklarında içeriğe erişim sağlamış olup olmadığını kontrol edin. Ayrıca, sistemdeki herhangi bir olağan dışı komut çalıştırılması, CVE-2020-10148 gibi bir güvenlik açığına işaret edebilir. Örnek bir log kaydı şu şekilde görünebilir:

[2023-10-01 10:15:32] INFO: User admin from IP 192.168.1.100 accessed /api/v1/execute_command
[2023-10-01 10:15:35] WARNING: Suspected authentication bypass attempt by IP 192.168.1.150

Bu kayıtlarda, bir kullanıcının yetkisi olmayan bir API komutunu çalıştırması, anormal bir durumu işaret ediyor olabilir. Ayrıca, Error log'lar (hata günlükleri) da önemli bir kaynak sunar. Özellikle, "unauthorized access" veya "authentication failed" gibi hatalar, potansiyel bir zafiyetin belirtisi olabilir. Sistem, zafiyetten yararlanılarak yapılan yetkisiz girişler hakkında bilgi verebilir.

Elde edilen log verilerinin analizi sırasında, oturum sürekliliğini izlemek için bir başka kritik imza "session token" (oturum belirteci) takibi olacaktır. Eğer bir kullanıcının oturum belirteci, beklenmeyen bir süreklilik göstermekteyse, bu bir güvenlik açığına karşı dikkatli olunması gerektiğini gösterir. Veri tabanındaki bu tür imzalar, güvenlik açıklarını zamanında tespit edebilmek için önemli ipuçları sunar.

Ayrıca, adli bilişim süreçlerinde, bir olayın zamanlamasını belirlemek oldukça önemlidir. Güvenlik uzmanları, belirli zaman dilimlerinde gerçekleşen şüpheli aktiviteleri veya çok sayıda aynı anda gerçekleştirilen SQL komutlarını da incelemelidir. Bu tür bir davranış, genellikle bir Remote Code Execution (RCE - Uzaktan Kod Çalıştırma) veya benzeri bir kötü niyetli etkinliği işaret eder.

Sonuç olarak, SolarWinds Orion API'deki CVE-2020-10148 zafiyetinin siber saldırganlar tarafından kullanılıp kullanılmadığını tespit etmek için log dosyalarındaki erişim ve hata kayıtlarına dikkatlice bakılmalıdır. Şüpheli IP adresleri, olağan dışı oturum sürekliliği ve beklenmedik API komutları, bir siber güvenlik uzmanının dikkat etmesi gereken önemli imzalardır. Bu sayede, potansiyel tehditler daha erken tespit edilerek gerekli önlemler alınabilir.

Savunma ve Sıkılaştırma (Hardening)

SolarWinds Orion ürününde bulunan CVE-2020-10148 zafiyeti, uzaktan bir saldırganın API komutlarını icra etmesine olanak tanıyan bir kimlik doğrulama atlatma (authentication bypass) açığıdır. Bu tür bir zafiyet, siber güvenlik açısından son derece kritik bir durumu ortaya çıkarabilir ve saldırganların, hedef sistemlere yetkisiz erişim sağlaması yoluyla veri çalması veya sistemleri ele geçirmesi mümkün hale gelebilir. Dolayısıyla, bu tür bir zafiyetin tespit edilmesi ve kapatılması son derece önemlidir.

Zafiyetin temelinde yatan durum, SolarWinds Orion API'sinin yetersiz kimlik doğrulama mekanizmasıdır. Bu, bir saldırganın herhangi bir kimlik bilgisi kullanmadan API ile etkileşim kurarak sistem üzerinde çeşitli komutlar çalıştırabileceği anlamına gelir. Gerçek dünya senaryolarında, bir saldırgan bu açığı kullanarak bir organizasyonun altyapısına erişebilir ve hassas verilere ulaşabilir. Örneğin, bir saldırgan sisteme sızarak veri tabanındaki kullanıcı bilgilerini görüntüleyebilir veya yönetici yetkileri elde ederek, yazılımın kontrolünü tamamen ele geçirebilir.

Zafiyetin kapatılması için ilk adım, sistemde gerekli güncellemeleri yapmaktır. SolarWinds, bu tür durumlarda güncellemeler ve yamalar yayınlamaktadır. Kullanıcılar, bu yamaları düzenli olarak kontrol etmeli ve sistemlerini güncel tutmalıdır. Güncellemelerin yanı sıra, sistemin güvenlik ayarlarını gözden geçirerek kimlik doğrulama süreçlerini sıkılaştırmak da kritik bir diğer adımdır.

Alternatif güvenlik duvarı (WAF) kuralları, bu tür atakları önlemede etkili olabilir. WAF'lar, HTTP isteklerini analiz ederek şüpheli aktiviteleri engelleyebilir. Örneğin, aşağıdaki gibi basit bir WAF kuralı eklenerek olağan dışı API erişim talepleri engellenebilir:

SecRule REQUEST_URI "@streq /api/endpoint" "phase:2,t:none,deny,status:403,id:1000001,msg:'Unauthorized API access attempt'"

Bu kural, belirli bir API uç noktasına erişim taleplerini analiz eder ve yetkisiz erişim denemesi olduğunda yanıt olarak 403 durum kodu döndürür. Böylece kötü niyetli bir saldırganın sistem üzerinden geçiş yapması engellenmiş olur.

Kalıcı sıkılaştırma (hardening) önerileri arasında, çok faktörlü kimlik doğrulama (MFA) uygulamak oldukça önemlidir. MFA, yalnızca kullanıcı adı ve şifre değil, aynı zamanda başka bir kimlik doğrulama yöntemi (örneğin SMS doğrulama veya kimlik doğrulama uygulaması) kullanarak sistemin güvenliğini artırır. Ayrıca, API'ler için erişim kontrol listelerinin (ACL) dikkatlice yapılandırılması, sadece yetkili kullanıcıların belirli uç noktalara erişim sağlamasını güvence altına alabilir.

Güvenlik duvarı ve ağ ayarlarının yapılandırılması da kritik bir rol oynamaktadır. Ağa erişen tüm isteklerin güvenlik duvarları tarafından detaylı bir şekilde kontrol edilmesi, olası tehlikeleri önceden tespit etmek için önemlidir. Bu bağlamda, gerekli loglama (günlükleme) mekanizmalarının ve izleme sistemlerinin kurulması, anomali tespitine yardımcı olabilir.

Sonuç olarak, SolarWinds Orion'daki CVE-2020-10148 zafiyetinin nasıl kapanacağı konusunda birkaç temel adım takip edilmelidir; sistem güncellemeleri, WAF kuralları, çok faktörlü kimlik doğrulama, erişim kontrol listeleri ve detaylı günlükleme sistemleri, bu açığın etkilerini minimuma indirgemek için kritik öneme sahiptir. White Hat hacker’lar olarak, bu tür zafiyetlerin farkında olmak ve doğru savunma yöntemlerini uygulamak, güvenli bir dijital ortam yaratmanın temel taşlarını oluşturmaktadır.