CVE-2020-12271: Sophos SFOS SQL Injection Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2020-12271, Sophos Firewall Operating System (SFOS) üzerinde bulunan önemli bir SQL injection (SQL enjeksiyonu) zafiyetidir. Bu zafiyet, yönetim arayüzü (HTTPS) veya Kullanıcı Portalı'nın WAN bölgesinde (genel ağa açık durumda) yapılandırılması durumunda ortaya çıkmaktadır. Başarıyla istismar edildiğinde, kötü niyetli bir saldırganın uzaktan kod çalıştırmasına (remote code execution - RCE) ve cihazın yerel yöneticileri, portal yöneticileri ile uzaktan erişim için kullanılan kullanıcı hesaplarına ait kullanıcı adları ve karma (hashed) şifrelerin ele geçirilmesine olanak tanıyabilir. Ancak, bu durum dışsal Active Directory veya LDAP şifrelerini etkilemez.

Bu zafiyet, CWE-89 kodu altında sınıflandırılır ve veri tabanı sorgularında uygun olmayan girişlerin kullanılmasına olanak tanır. SQL enjeksiyonu, veritabanına zararlı SQL komutları gönderilmesi anlamına gelir ve sonuç olarak yetkisiz erişim veya veri sızıntılarına neden olabilir.

CVE-2020-12271 zafiyeti, 2020 yılında ortaya çıkmıştır ve Sophos’un Firewall ürün grubu üzerinde etkisini göstermiştir. Bu tür zafiyetlerin tarihçesi, genellikle yazılım geliştirme süreçlerinde yeterli veri doğrulama veya girdi sanitizasyonu yapılmadığında başlar. Sophos, bu zafiyetin kaynağını, SFOS'un kullanıcı giriş verilerini işleme biçiminde bulmuştur. SQL enjekte edilebilecek alanların doğru bir şekilde filtrelenmemesi, zafiyetin en önemli kısımlarından biridir.

Dünya genelindeki etkisi, birçok sektörü kapsamaktadır. Özellikle, finans, sağlık, eğitim ve kamu hizmetleri gibi veri güvenliğine yüksek düzeyde ihtiyacı olan alanlar, bu zafiyetten ciddi bir biçimde etkilenme potansiyeline sahiptir. Kötü niyetli aktörlerin, bu tür bir SQL enjeksiyonu aracılığıyla erişim sağladığı durumlarda, hassas kişisel veriler, finansal bilgiler ve kurumsal sırlar ifşa olabilir.

Gerçek bir dünya senaryosuna göz atacak olursak, varsayımsal olarak büyük bir sağlık kuruluşunun SFOS kullandığını düşünelim. Kuruluş, kullanıcılarının sağlık verilerini korumakla yükümlüdür. Eğer bir saldırgan, CVE-2020-12271 zafiyetini kullanarak bu ağa erişim sağlarsa, hem hasta bilgileri hem de çalışanların kimlik bilgileri tehlikeye girebilir. Bu tür bir veri sızıntısı, yalnızca finansal kayıplara değil, aynı zamanda kurumun itibarına da büyük zarar verebilir.

Saldırganların bu tür bir zafiyeti keşfetmesi, siber güvenlik uzmanlarının sıklıkla karşılaştığı bir durumdur. Online kaynaklarda SQL enjeksiyonu ile ilgili örnekler ve kod parçacıkları paylaşılmakta, bu tür bilgilerin kötüye kullanılması için uygun ortamlar oluşturulmaktadır. Bu nedenle, zafiyetlerin zamanında tespit edilmesi ve gereken yamaların uygulanması büyük bir önem taşır.

Sonuç olarak, CVE-2020-12271 gibi SQL enjeksiyonu zafiyetleri, hem bireyler hem de kuruluşlar açısından ciddi tehlikeler doğurmaktadır. Yazılımların düzenli olarak güncellenmesi, güvenli kod yazım tekniklerinin benimsenmesi ve kullanıcı eğitimleri konusundaki önlemler, bu tür güvenlik açıklarının etkisini azaltmak açısından kritik bir rol oynamaktadır. CyberFlow platformu gibi sistemler, bu tür zafiyetleri analiz ederek proaktif önlemler almayı hedefler ve kullanıcıların siber güvenlik bilinçlerini artırmalarına yardımcı olur.

Teknik Sömürü (Exploitation) ve PoC

SQL enjeksiyonu (SQL Injection) zafiyetleri, web uygulamalarının en yaygın güvenlik açıklarından biridir ve kötü niyetli bir saldırganın veri tabanına yetkisiz erişim sağlamasına olanak tanır. Bu tür zafiyetler, özellikle kullanıcı doğrulama bilgilerini içeren sistemlerde büyük bir tehlike arz eder. Sophos Firewall işletim sistemi (SFOS) üzerindeki CVE-2020-12271 zafiyeti de bu türden bir SQL enjeksiyonu zafiyetidir. Bu zafiyet, yönetim ve Kullanıcı Portalı hizmetlerinin WAN (Geniş Alan Ağı) bölgesinde maruz kalması durumunda ortaya çıkar. Zafiyetin başarılı bir şekilde sömürülmesi, uzaktan kod yürütme (Remote Code Execution - RCE) olanağı sunarak, sistem yöneticilerinin kullanıcı adları ve şifre hash'lerinin dışarıya sızdırılmasına yol açabilir.

Bu zafiyeti sömürmek için izlenecek adımlar aşağıda ayrıntılı olarak açıklanmıştır. Fakat bu bilgilerin yalnızca eğitim amaçlı kullanılması gerektiği ve kötü niyetli eylemler için kullanılmaması gerektiği unutulmamalıdır.

İlk olarak, SQL enjeksiyonu zafiyetinin mevcut olup olmadığını test etmek için hedef sistemin HTTP isteklerini kötü amaçlı verilerle manipüle etmeliyiz. SQL enjeksiyonu zafiyetinin doğrudan var olup olmadığını kontrol etmek için basit bir deneme yapabiliriz.

İlk adım, hedef URL'yi bulmaktır. Örneğin, Sophos Portal'ının genellikle /login gibi bir son noktası bulunabilir. Şimdi, bir GET isteği ile bu URL’ye bir SQL enjeksiyonu içeren payload gönderelim.

GET /login?username=admin' OR '1'='1&amp;password=anything HTTP/1.1
Host: hedef-ip-adresi

Bu istek, veri tabanındaki username alanına SQL sorguları ekleyerek sistemin herhangi bir kullanıcı adı için geçerli olup olmadığını kontrol eder. Eğer zafiyet varsa, sistem "giriş başarılı" şeklinde bir yanıt dönebilir.

İkinci aşama, elde edilen yanıtı analiz etmektir. Eğer başarılı bir giriş yapılmışsa, sistem veri tabanına erişmemiz mümkündür. Bu noktada, işletim sisteminin veritabanındaki yapılandırmalar hakkında bilgi almak için daha derinlemesine sorgular yapılabilir. Örneğin, aşağıdaki SQL komutlarını kullanarak tabloları ya da içerdikleri alanları keşfedebiliriz.

GET /login?username=admin' UNION SELECT table_name, column_name FROM information_schema.columns-- HTTP/1.1
Host: hedef-ip-adresi

Bu nokta, bize sistemdeki tablolar ve alan adları hakkında bilgi sağlayacaktır. Şayet başarılı olmuşsak, bu bilgileri kullanarak şifre hash'lerinin saklandığı tabloları ve alanları tespit edebiliriz.

Üçüncü aşama ise, elde edilen şifre hash'lerini dışarıya çıkarmaktır. Bunun için aşağıdaki gibi bir GET isteği yapabiliriz:

GET /login?username=admin' UNION SELECT username, password_hash FROM users-- HTTP/1.1
Host: hedef-ip-adresi

Yanıt olarak, kullanıcı adları ve hash'lerini içeren bir veri seti dönecektir. Bu hash’leri, daha sonrasında çevrimiçi araçlar (örneğin hashcat gibi) veya offline yöntemlerle kırarak sistemdeki hesaplara erişebiliriz.

Son olarak, eğer bu aşamaları başarıyla geçersek, uzaktan kod yürütme gerçekleştirerek sistem üzerinde tam yetki elde edebiliriz. Bunu yapmak için, sistemdeki zafiyetlerden faydalanarak bir payload (kötü amaçlı yazılım parçası) göndermeliyiz. Örneğin:

POST /path/to/vulnerable/endpoint HTTP/1.1
Host: hedef-ip-adresi
Content-Type: application/x-www-form-urlencoded

payload=&lt;buraya kötü amaçlı kod&gt;

Bu adımları izleyerek SQL enjeksiyonu zafiyetinin etkilerini anlayabiliriz. Ancak, her zaman etik kurallara uymalı ve bu tür bilgileri yalnızca güvenlik testleri ve sistemlerin korunması amacıyla kullanmalıyız. Unutmayın ki, sıkı güvenlik önlemleri, zafiyetlere karşı en iyi savunmadır.

Forensics (Adli Bilişim) ve Log Analizi

Sophos SFOS (Sophos Firewall Operating System) üzerinde bulunan CVE-2020-12271 SQL injection (SQL enjeksiyonu) zafiyeti, siber güvenlik dünyasında önemli bir tehdit oluşturur. Bu tür bir zafiyet, kötü niyetli saldırganların sistemin veritabanına istenmeyen SQL komutları göndermesine olanak tanır. Geri dönen sonuçlar, saldırganın ilgili altyapıda bulunduğu kullanıcı adı ve şifre gibi hassas bilgilere erişmesine neden olabilir. Özellikle, bu durum admin hesapları ve portal yöneticileri için büyük bir risk oluşturur.

Bir siber güvenlik uzmanı, böyle bir saldırının gerçekleştirildiğini log (kayıt) dosyalarını inceleyerek tespit edebilir. İlk olarak, SIEM (Security Information and Event Management) sistemleri ile logların toplanması ve analiz edilmesi sağlanır. Bu süreçte özellikle, Access log (erişim logları) ve Error log (hata logları) gibi kritik kayıtlar üzerinde çalışmak önemlidir.

Erişim logları, hangi kullanıcıların sisteme hangi tarihlerde ve saatlerde erişim sağladığını gösterir. Burada dikkat edilmesi gereken en önemli imza, şüpheli bir şekilde aynı IP adresinden yapılan ardışık veya atipik isteklerdir. Eğer bir IP adresi, genellikle erişmediği sistem bileşenlerine erişim talep ediyorsa bu bir anormallik olarak değerlendirilebilir. Örneğin, normalde kullanıcılar sadece belirli URL'ler üzerinden erişim sağlarken, bir IP’nin bu URL’lerin dışında istekler yapması potansiyel bir SQL injection saldırısı olabilir.

Hata logları da benzer şekilde kritik bir rol oynar. SQL injection saldırıları genellikle hata mesajları üretir ve bu mesajlar log dosyalarına kaydedilir. Özellikle, "SQL syntax" (SQL sözdizimi) hataları veya "database connection" (veritabanı bağlantısı) hataları dikkat çekici imzalardır. Log dosyalarında bu tür hata mesajlarının sıkça tekrarlanması, olası bir saldırının varlığına işaret edebilir.

Örnek bir kod bloğu aşağıdaki gibi olabilir:

ERROR: syntax error near '1' 
ERROR: failed to connect to database

Bu tür mesajlar, bir SQL injection saldırısının göstergesi olabilir. Ayrıca, belirli bir URL sonunda beklenmeyen karakterlerin veya sorgu parametrelerinin bulunması durumunda, bu da SQL injection saldırısına dair bir belirti olabilir. Örneğin, bir kullanıcı adı veya şifre giriş alanında, aşağıdaki gibi bir sorgunun geçmişe yönelik bir istek olduğunu görürsek:

/user/login?username=admin' OR '1'='1&password=123456

Bu gibi anormal sorgu yapıları, potansiyel bir SQL enjeksiyonu anlamına gelebilir.

Bir saldırının daha ayrıntılı tespiti için, log verileri üzerinde normal davranış profilleri oluşturmak ve bu profillere göre anormallikleri belirlemek önemlidir. Saldırı anında ya da sonrasında analiz yapabilmek için, log verilerinin uzun süre saklanması ve analitik araçları kullanarak incelemeler yapılması, siber güvenlik uzmanlarının elini güçlendirir. Sonuç olarak, Sophos SFOS üzerindeki SQL injection zafiyetinin etkilerini minimize edebilmek, log analizi ve forensics (adli bilişim) süreçlerine bağlıdır.

Savunma ve Sıkılaştırma (Hardening)

Sophos Firewall işletim sistemi (SFOS) üzerinde tespit edilen CVE-2020-12271 zafiyeti, SQL enjeksiyon (SQL Injection) saldırılarına maruz kalma riskini taşımaktadır. Bu zafiyet, firewall'un yönetim (HTTPS) hizmeti veya Kullanıcı Portalı'nın WAN alanında açılması durumunda ortaya çıkabilir. Başarılı bir şekilde istismar edildiğinde, uzaktan kod yürütmeye (Remote Code Execution - RCE) olanak sağlar ve bunun sonucunda yerel cihaz yöneticilerinin, portal yöneticilerinin ve uzaktan erişim için kullanılan kullanıcı hesaplarının kullanıcı adlarını ve karma şifrelerini ele geçirebilir. Bu durum, özellikle kritik ağ güvenliği sistemlerinin tehdit altında kalmasına yol açabilir.

Bu tür SQL enjeksiyon saldırılarının gerçekleşmesini önlemek ve mevcut sistemlerinizi korumak amacıyla atılacak adımlar, ağ güvenliğinizin sağlamlaştırılması açısından büyük önem taşımaktadır. İlk olarak, Sophos Firewall cihazı üzerindeki hizmetlerin yalnızca ihtiyaç duyulana kadar aktif tutulması gerektiği vurgulanmalıdır. Örneğin, fonksiyonelliği artırmak için açılan tüm portların ve hizmetlerin, olabildiğince dar bir çerçevede tutulması önerilir.

Açığın kapatılması için ilk adım, kurulumda kullanılan portları değiştirmekle başlayabilir. Özellikle standart HTTPS (443) portunun değiştirilmesi, basit saldırılara karşı koruma sağlayacaktır. Ayrıca, firewall’un yönetim arayüzüne ve kullanıcı portalına erişimi sınırlandırmayı düşünebilirsiniz. Örneğin, yalnızca belirli IP adreslerine izin verme setleri oluşturarak bu erişimi kontrol etmek etkili bir yöntemdir.

Ek olarak, ağın önünde bir Web Uygulama Güvenlik Duvarı (WAF) konumlandırılması, SQL enjeksiyon saldırılarına karşı alınacak diğer bir önemli önlemdir. WAF'lar, giden ve gelen trafiği analiz ederek zararlı istekleri engelleyebilir. Örnek bir WAF kuralı şu şekilde olabilir:

{
  "rule": {
    "id": "SQL_INJECTION_RULE",
    "action": "block",
    "conditions": [
      {
        "field": "request.query_string",
        "pattern": ".*('.*'|\".*\"|--|;|#).*",
        "type": "regex"
      }
    ]
  }
}

Bu tür kurallar, SQL enjeksiyon denemelerini tespit ederek bu tür kötü niyetli aktiviteyi engellemeye yardımcı olur.

Kalıcı sıkılaştırma önerileri arasında, SFOS cihazının sürekli güncellenmesini sağlamak bulunmaktadır. Üretici tarafından sunulan en son güncellemeleri ve yamaları düzenli olarak kontrol etmek, güvenlik açıklarının kapatılmasına yardımcı olacaktır. Ayrıca, sistem üzerinde log (günlük) kaydı tutmak, saldırganların faaliyetlerini analiz etmek ve potansiyel zafiyetlerin tespit edilmesine olanak tanır.

Son olarak, kullanıcıların güçlü şifre politikalarına tabi tutulması ve iki faktörlü kimlik doğrulama (2FA) gibi yöntemler ile kimlik doğrulama süreçlerinin daha sağlamlaştırılması, zafiyetlerin istismar edilme riskini büyük ölçüde azaltacaktır. Kısa vadeli önlemler alarak güvenliğin sağlanması, uzun vadeli bir strateji ile birleştiğinde, ağ altyapınızın güvenliği büyük ölçüde artırılabilir. Unutulmamalıdır ki, proaktif bir yaklaşım ve sürekli izleme, güvenlik zafiyetlerinin önlenmesinde anahtar rol oynamaktadır.