CVE-2020-12812: Fortinet FortiOS SSL VPN Improper Authentication Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2020-12812, Fortinet tarafından geliştirilen FortiOS güncellemelerinin bir parçası olarak ortaya çıkan önemli bir zafiyettir. Bu zafiyet, FortiOS SSL VPN uygulamasında, kullanıcıların ikinci faktör kimlik doğrulamasına (FortiToken) ihtiyaç duymaksızın başarılı bir şekilde giriş yapabilmelerini sağlayan bir "improper authentication" (yanlış kimlik doğrulama) açığıdır. Kullanıcı, yalnızca kullanıcı adının büyük/küçük harflerini değiştirerek bu açığı istismar edebilir. Bu durum, uygulamanın kimlik doğrulama sürecinde dikkate alınması gereken ciddi bir güvenlik açığı doğurur.

Zafiyetin temelinde, kullanıcı adının büyük/küçük harf duyarlılığı olan bir sistemin yanlış yapılandırılması yatmaktadır. Bu durum, belirli bir kullanıcı adı ile yapılan giriş işlemlerinin, sadece karakter setinde bir değişiklik yaparak atlanabilmesine olanak tanır. Örneğin, bir kullanıcı "kullanici" olarak kayıtlı ise, "KULLANICI" şeklinde bir giriş denemesi ile aynı kullanıcı hesabına erişim sağlanabilir. FortiOS'un bu durumu göz ardı etmesi, ek bir güvenlik katmanı olan iki faktörlü kimlik doğrulamanın bypass (atlama) edilmesine yol açmaktadır.

Bu zafiyetin geçmişi, Fortinet’in güvenlik güncellemeleri ve yaygın olarak kullanılan SSL VPN (Secure Socket Layer Virtual Private Network) hizmetlerinin etkisiyle iç içe geçmiştir. FortiOS’un güncellemeleri genellikle güvenlik açıklarını gidermeyi hedefler; ancak bazı durumlarda, bu zafiyet gibi yeni güvenlik sorunlarının ortaya çıkmasına neden olmaktadır. Dünya genelindeki etkisi ise, özellikle uzaktan çalışma modellerinin yaygınlaştığı bu günlerde, kritik öneme sahip bir sorunu ifade etmektedir. Finansal hizmetler, sağlık sektörü ve devlet kurumları gibi birçok sektör, bu zafiyetten etkilenmiş ve kullanıcı verilerinin güvenliği potansiyel olarak tehlikeye girmiştir.

Gerçek dünyadan bir senaryo ele alındığında, bir organizasyonun çalışanlarından biri, kullandığı sistemin oturumunu açık bırakmış ve başka bir çalışan bu oturumu değiştirebilmiştir. Eğer saldırgan, kullanıcının adını "XYZ" ve parolasını doğru bir şekilde biliyorsa, ancak kullanıcı adında büyük/küçük harf değişikliği yaparak sistemi atlarsa, güvenlik açığından yararlanabilir. Böylece, kullanıcının sisteme giriş yaparak önemli verileri erişebilmesi veya düzenleyebilmesi söz konusu olabilir.

Sonuç olarak, CVE-2020-12812 gibi zafiyetler, siber güvenlik alanında sürekli bir tehdit oluşturmaktadır. Geliştiricilerin bu tür durumları önleyebilmesi için yazılımlarını güncel tutmaları, düzenli güvenlik testleri gerçekleştirmeleri ve kullanıcı eğitimlerine önem vermeleri gerekmektedir. İki faktörlü kimlik doğrulama (2FA) gibi güvenlik yapılandırmalarının etkin bir şekilde kullanılması, sistemin siber tehditlere karşı daha dirençli bir hale gelmesine yardımcı olabilir. Ayrıca, kullanıcı adı ve parola sistemlerinin yanı sıra, gelişmiş analitik araçlar ve tehdit tespiti sistemleri kullanılarak olası zafiyetlerin erken dönemde tespit edilmesi sağlanmalıdır.

Teknik Sömürü (Exploitation) ve PoC

Fortinet FortiOS üzerinde bulunan CVE-2020-12812 zafiyeti, TLS (Transport Layer Security) ve SSL VPN (Secure Sockets Layer Virtual Private Network) güvenlik mekanizmalarına zarar verebiliyor. Bu zafiyet, kullanıcı adı doğrulamasında bir hata sebebiyle, kullanıcıların 2. faktör (FortiToken) doğrulamasına ihtiyaç duymadan sisteme erişim sağlamalarına olanak tanıyor. Özellikle, kullanıcı adını büyük-küçük harf değiştirerek login olmaları durumunda, bu durum kullanıcıların güvenliğini ciddi bir şekilde tehdit ediyor.

Zafiyetin başlıca etki alanı, yetkisiz erişim (Auth Bypass) sağlama yeteneğidir. Bu, siber saldırganların, kullanıcıların hesabını ele geçirmek amacıyla bu zafiyeti rahatlıkla istismar etmelerine sebep olmaktadır.

Sömürü aşamalarına geçmeden önce, sistemde kimlerin bu tür zafiyetlere hedef olabileceğini anlamak önemlidir. Örneğin, bir şirketin yöneticisi, güvenlik önlemlerını gözden kaçırabilir ve bu durum, saldırganların içeri sızmasına neden olabilir. Aynı zamanda, doğru yapılandırılmamış bir VPN, çalışanların uzaktan erişim gerçekleştirdiği platformları hedef alarak ciddi veri sızıntılarına yol açabilir.

İşte bu zafiyetin adım adım sömürülmesi:

Hedef Belirleme: FortiOS SSL VPN kullanmakta olan bir hedef organizasyonu belirleyin. Bu bilgiler, genellikle şirketin web siteleri veya açık kaynaklardan elde edilebilir.
Kullanıcı Adı Öğrenimi: Hedef organizasyon ile ilgili kullanıcılara ait kullanıcı adlarını toplayın. Genellikle, e-posta adresleri veya diğer sistemlerdeki kullanıcı bilgileri bu aşamada yararlı olacaktır.
Kullanıcı Adında Harf Değişikliği: Milliyetsiz bir kullanıcı adı alarak, örneğin "user@example.com" yerine "User@example.com" olarak küçük/büyük harf değişimi yapın.
Giriş Denemesi: Şimdi bu kullanıcı adı ile giriş yapmayı deneyin. Aşağıdaki gibi bir HTTP isteği oluşturabilirsiniz:

POST /login HTTP/1.1
Host: target-fortigate-ip
Content-Type: application/json

{
    "username": "User@example.com",
    "password": "userpassword"
}

Sistem, kullanıcı adı büyük/küçük harf ayrımına dikkat etmediyse, 2. faktör doğrulaması istemeden giriş yapmanıza olanak tanır.

Erişim Kontrolü: Eğer giriş başarılı olduysa, yetki seviyenizi belirlemelisiniz. Bu sayede, hedef sistemin hangi bölümlerine erişebileceğinizi öğrenebilirsiniz. Bunun için şöyle bir kontrol yapabilirsiniz:

GET /dashboard HTTP/1.1
Host: target-fortigate-ip
Authorization: Bearer your_access_token

Kullanıcı Verilerine Erişim: Eğer erişim başarılı olduysa, kullanıcının verilerine ulaşabilir, dosyaları indirebilir veya sistemdeki diğer kullanıcılarla ilgili bilgiler alabilirsiniz.
Çıkış ve Temizlik: Sömürüyü gerçekleştirdikten sonra, aktivitelerinizi temizlemek için tüm oturumları kapatın ve gerekirse log kaydını silmeye çalışın. Bu, hedefin farkında olmadan erişiminizi daha uzun süre sürdürmenize olanak tanıyabilir.

Bu aşamaların her biri, yalnızca bir eğitim ve etik hacking perspektifinde analiz edilmiştir. CVE-2020-12812 gibi zafiyetler karşısında dikkatli olunması gerektiği unutulmamalıdır. Ayrıca, bu tür zafiyetlerden korunmak için sistemlerin sürekli güncellenmesi, güvenlik duvarlarının etkin kullanımı ve çok faktörlü kimlik doğrulama mekanizmalarının yapılandırılması önemlidir.

Forensics (Adli Bilişim) ve Log Analizi

Fortinet FortiOS SSL VPN, kullanıcılarına sağladığı güvenlik özellikleri ile dikkat çekse de, CVE-2020-12812 kodu ile tanımlanan önemli bir zafiyet barındırmaktadır. Bu zafiyet, kullanıcıların ikinci bir kimlik doğrulama faktörü olan FortiToken (iki aşamalı kimlik doğrulama cihazı) isteği olmadan sisteme giriş yapmalarına olanak tanımaktadır. Zafiyet, kullanıcı adındaki harflerin büyük veya küçük olarak değiştirilmesi durumunda gerçekleşmektedir. Bu tür bir kimlik doğrulama hatası (Auth Bypass) siber saldırganlar için önemli bir fırsat sunmaktadır; çünkü basit bir kullanıcı adı manüplasyonu ile sisteme izinsiz erişim sağlamak mümkün hale gelmektedir.

Siber güvenlik uzmanları için, bu tür zafiyetlerin tespit edilmesi ve analiz edilmesi temel bir adımdır. CVE-2020-12812 gibi bir zafiyetin istismar edilip edilmediğini belirlemenin en etkili yollarından biri, log dosyalarını detaylı bir şekilde incelemektir. Log analizi (Log Analysis) sayesinde, sistemdeki olağandışı aktiviteleri tespit etmek mümkündür. Özellikle SIEM (Security Information and Event Management) sistemleri, bu tür analizlerde kritik bir rol oynamaktadır.

Log dosyalarında aranan bazı önemli izler şunlardır:

Başarılı Giriş Kayıtları: Kullanıcıların sisteme kimlik bilgileriyle giriş yaptığı kayıtlar, imzaların belirlenmesinde ilk adımı oluşturur. Burada dikkat edilmesi gereken noktalar, giriş yapan kullanıcı adının formatıdır. Eğer kullanıcı adı büyük küçük harf değişimlerine uğrayarak başarılı giriş yapıyorsa, bu durum CVE-2020-12812 zafiyetinin bir göstergesi olabilir. Örneğin, aşağıdaki gibi bir giriş kaydı dikkat çekici olabilir:

   [2023-10-01 12:15:30] SUCCESS: User john.doe logged in from IP 192.168.1.5
   [2023-10-01 12:16:10] SUCCESS: User JOHN.DOE logged in from IP 192.168.1.5

Eşzamanlı Girişler: Aynı kullanıcı adıyla, farklı büyük-küçük harf kombinasyonları ile eşzamanlı giriş yapılan kayıtlar, zafiyetin kullanımına dair güçlü bir işaret olabilir. Girişlerin zaman damgaları benzerse, bir saldırganın otomatik araçlar (Automated Tools) kullanarak sistemi denediği düşünülebilir.
Başarısız Giriş Denemeleri: İki aşamalı kimlik doğrulama gerektiren bir sistemde, başarısız giriş denemeleri sonrası her seferinde başarılı giriş yapılan kayıtlar mümkün olan bir zafiyetin varlığına işaret etmektedir. Loglarda bulunan bu tür kayıtlar detaylı bir şekilde incelenmelidir.
Error Log Kayıtları: Hatalı giriş denemelerine dair loglar, potansiyel bir saldırganın hangi kullanıcı bilgilerini denediğini gösterebilir. Özellikle "invalid username" gibi hataların sıklığı, potansiyel bir brute-force (kaba kuvvet) saldırısını veya zafiyeti istismar etmeye yönelik bir girişimi işaret edebilir.

Sistem yöneticileri, zafiyetin istismarı sonucunda meydana gelen olumsuz sonuçlardan etkilenmemek için log dosyalarını düzenli bir şekilde izlemelidir. Böylece, siber olaylara zamanında müdahale etme şansını artırmış olurlar. Zafiyetin varlığından haberdar olmak ve log analizini etkin bir şekilde uygulamak, siber güvenlik stratejisinin vazgeçilmez bir parçası olarak öne çıkmaktadır. Unutulmamalıdır ki, her bir log kaydı, bir siber olayın potansiyel göstergesi olabilir ve hatalı oturum açma veya izinsiz erişim girişimlerine karşı sürekli bir gözetim şarttır.

Savunma ve Sıkılaştırma (Hardening)

Fortinet FortiOS SSL VPN üzerindeki CVE-2020-12812 zafiyeti, siber güvenlik alanında önemli bir güvenlik açığı olarak karşımıza çıkmaktadır. Bu açık, kullanıcıların ikinci faktör kimlik doğrulaması (FortiToken) istemeden başarılı bir şekilde oturum açmalarına olanak tanıyan bir yöntemle ilgilidir. Kullanıcı adı girdisi üzerindeki büyük/küçük harf duyarlılığının yanlış yönetilmesi, bu açığın temel nedenini oluşturur. Gerçek dünyadaki senaryolarda, bu tür bir saldırı yöntemi, kimlik hırsızlığı veya sisteme yetkisiz giriş için kötü niyetli aktörler tarafından kullanılabilir.

Bu zafiyeti gidermek için ilk olarak, FortiOS üzerinde uygun yapılandırmaları gerçekleştirmek büyük bir önem taşır. Kullanıcı adı girdisinin büyük/küçük harf duyarlılığının doğru bir şekilde ele alınması, bu açığı kapatmanın en etkili yollarından biridir. Kullanıcı adları, giriş sırasında normalize edilerek aynı görünüme getirilmeli ve bu süreçte kullanılan algoritmalarda güncellemeler yapılmalıdır.

Bir diğer önemli payload (yük) önleme mekanizması, firewall (güvenlik duvarı) kurallarıdır. Özellikle web uygulama güvenlik duvarı (WAF), SSL VPN hizmetine yönelik beklenmeyen girişimlere karşı ek bir koruma katmanı sağlar. Aşağıda önerilen WAF kuralları, zafiyeti önlemeye yardımcı olabilir:

SecRule REQUEST_HEADERS:User-Agent "@rx [A-Z]" \
    "id:1001, \
    phase:1, \
    pass, \
    t:lowercase, \
    capture"

SecRule REQUEST_HEADERS:User-Agent "@rx (some-sensitive-pattern)" \
    "id:1002, \
    phase:2, \
    deny, \
    status:403"

Bu kurallar, kullanıcı adı girdisindeki büyük harf kullanımını izlerken aynı zamandaistenmeyen kullanıcı ajanlarını (User-Agent) tanımlayarak durdurulmasını sağlar. Bir diğer önerim, tüm kullanıcı giriş denemelerini kaydederek analiz etmektir. Bu sayede, olağan dışı girişimler daha kolay tespit edilir.

Kalıcı sıkılaştırma önerileri arasında, FortiToken gibi iki faktörlü kimlik doğrulama sistemlerinin etkin bir şekilde yapılandırılması yer almaktadır. Kullanıcılar için bu tür sistemlerin zorunlu hale getirilmesi, yalnızca kullanıcı adının erişim haklarını belirlemesinin ötesine geçerek gerçek bir güvenlik katmanı oluşturur.

Ayrıca, düzenli olarak sistem güncellemeleri yapılmalı ve açıkların kapatılması için Fortinet tarafından sağlanan yamalar uygulanmalıdır. Aksi takdirde, RCE (Uzaktan Komut Yürütme) ve kimlik doğrulama geçişi (Auth Bypass) gibi diğer tehlikeli zafiyetlere maruz kalınabilir.

Son olarak, kullanıcı eğitim programları düzenleyerek, son kullanıcıların şifre güvenliği ile ilgili bilgi seviyelerini artırmak, ne yazık ki genellikle göz ardı edilen bir adım olmuştur. Bu tür programlar, kullanıcıları sosyal mühendislik saldırıları ve kimlik hırsızlığına karşı bilinçlendirmeye katkıda bulunur. Bu şekilde, FortiOS SSL VPN'in güvenliğini artırmak için çok katmanlı bir yaklaşım benimsenmiş olur.