CVE-2020-13927: Apache Airflow's Experimental API Authentication Bypass

Zorluk Seviyesi: Başlangıç | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2020-13927, Apache Airflow’un Deneysel API’sine yönelik bir güvenlik açığını temsil ediyor. Bu zafiyet, önceden tanımlı ayarların bir sonucu olarak, API isteği yapan herhangi bir kullanıcının kimlik doğrulaması olmaksızın server üzerinde işlemler yapabilmesine olanak tanıyordu. Apache Airflow, veri işleme ve iş akışlarını otomatikleştirmek için oldukça popüler bir araçtır; ancak böyle bir zafiyet, sistemin güvenliğini ciddi bir şekilde tehdit edebilmiştir.

Bu spesifik zafiyetin ortaya çıkışı, Apache Airflow’un temel bir bileşeni olan Deneysel API üzerinde bir yapılandırma hatasından kaynaklanmaktaydı. Deneysel API, genellikle geliştiricilerin yeni özellikleri test etmesi veya uygulama geliştirme süreçlerini hızlandırması için tasarlanmıştır. Ancak, yapılandırma ayarlarının varsayılan değerleri, kötü niyetli kullanıcıların kimlik doğrulaması olmaksızın API’yi kullanmalarına olanak tanıyarak, potansiyel olarak sistem üzerinde tam yetki ile hareket etmelerine izin veriyordu. Bu, API’ya erişimi olan herhangi birinin veritabanına zarar vermesi, veri sızıntısı yaşatması veya sistem üzerinde zararlı kod çalıştırması anlamına gelebiliyordu.

Dünyada çok sayıda organizasyon ve şirket, Apache Airflow'u veri yönetimi ve otomasyon süreçlerinde kullanmaktadır. Bu zafiyet, finans, sağlık, eğitim ve teknoloji sektörleri başta olmak üzere birçok sektörü etkilemiştir. Örneğin, bir finans kuruluşu, müşteri verilerini içeren bir veri işlem hattı olarak Airflow’u kullanıyor olabilir. Eğer bir saldırgan, kimlik doğrulaması gerektirmeyen API üzerinden sisteme sızabilirse, bu çok kritik kişisel verilere erişim sağlayabilir ve veri hırsızlığı gerçekleştirebilir. Bu tür bir durum, yalnızca o kuruluş için değil, aynı zamanda kullanıcıları için de büyük bir güvenlik ihlali anlamına gelir.

Gerçek dünyadan bir senaryo düşünelim. Bir e-ticaret platformu, günlük müşteri verisini işlemek için Apache Airflow kullanıyor. Eğer bir siber saldırgan, CVE-2020-13927’yi istismar ederse, bu durum kullanıcıların kredi kartı bilgilerinin, adres bilgilerinin veya diğer hassas verilerin sızmasına yol açabilir. Bu tür bir veri ihlali, yalnızca maddi kayıplara sebep olmaz, aynı zamanda marka itibarını zedeleyerek uzun dönemli müşteri güvenini de kaybettirebilir.

Apache Airflow’un bu zafiyetle beraber, sistem yöneticileri tarafından dikkate alınması gereken önemli güvenlik önlemleri bulunmaktadır. Bu zafiyetin giderilmesi için, Deneysel API için varsayılan kimlik doğrulama ayarlarının değiştirilmesi ve yalnızca güvenilir kullanıcıların API’ya erişim imkânına sahip olması sağlanmalıdır. Ayrıca, sistem yöneticileri, düzenli olarak güvenlik güncellemelerini takip etmeli ve kritik güvenlik yamalarını hızlı bir biçimde uygulamalıdırlar.

Sonuç olarak, CVE-2020-13927, yalnızca bir zafiyet değil, aynı zamanda veri güvenliği ve siber güvenlik anlayışının önemini vurgulayan bir örnek teşkil ediyor. Tüm siber güvenlik uzmanlarının ve organizasyonların, bu tür zafiyetleri tespit etmek, önlemek ve etkilerini minimize etmek için sürekli bir çaba içinde olmaları gereklidir. Bu zafiyetin ortaya çıkması ile birlikte, güvenlik protokollerinin sürekli güncellenmesi ve iyileştirilmesi gerekliliği bir kez daha kanıtlanmıştır.

Teknik Sömürü (Exploitation) ve PoC

Apache Airflow, veri işleme ve ETL (Extract, Transform, Load) süreçlerini yönetmek için yaygın olarak kullanılan bir platformdur. Ancak, 2020 yılında keşfedilen CVE-2020-13927 zafiyeti, özellikle deneysel API'si üzerinde önemli güvenlik açıkları barındırmaktadır. Bu zafiyet, kullanıcıların kimlik doğrulama (authentication) aşamasını geçerek API'yı yetkisiz bir şekilde kullanabilmelerine olanak sağlamaktadır.

Bu bölümde, Apache Airflow'un Deneysel API'sinde bir kimlik doğrulama atlatma (auth bypass) açığının nasıl sömürülebileceğine dair adım adım bir rehber sunacağız. Söz konusu zafiyetin etkilerini anlamak ve korunma yöntemlerini geliştirmek adına, teknik detayların yanı sıra gerçek dünya senaryolarına da değineceğiz.

İlk adım olarak, hedef sistemin Apache Airflow'un Deneysel API'sini çalıştırdığına ve zafiyetin bulunduğuna emin olmalıyız. Bunun için, sistemin sunduğu API endpoint'lerini keşfetmek üzere bir tarayıcıya veya bir API istemcisine (postman gibi) ihtiyacımız olacaktır. Örnek bir endpoint'i incelemek için aşağıdaki örneği kullanabiliriz:

GET http://hedef-sunucu:8080/api/v1/dags

Eğer bu endpoint'e erişim sağlanabiliyorsa, kimlik doğrulama zorunluluğunun olmadığını gözlemleyebiliriz. Bu durumda, sistemin güvenlik açığına sahip olduğunu doğrulamış oluruz.

Sonraki aşamada, bu zafiyetten yararlanarak yetkisiz veri erişimi sağlamaya çalışabiliriz. Bunun için, yukarıdaki endpoint'e bir istek gönderirken belirli parametreler eklememiz gerekebilir. Örneğin, belirli bir DAG'ın (Directed Acyclic Graph) ayrıntılarını alabilmek için aşağıdaki gibi bir HTTP isteği hazırlayabiliriz:

GET http://hedef-sunucu:8080/api/v1/dags/{dag_id}

Burada {dag_id} kısmını hedef sistemde bulunan bir DAG'ın kimliği ile değiştirmemiz gerekecektir. Bu isteği gönderdiğimizde, eğer kimlik doğrulama mekanizması çalışmıyorsa, başarıyla yanıt alabiliriz.

Bu tür bir sömürü, sadece veri okuma ile sınırlı kalmayabilir. Eğer sistemde gerekli izinler yoksa, çalıştırma (RCE - Remote Code Execution) yetkisi olan bir işlem gerçekleştirmek isteyebiliriz. Örneğin, hedef sistem için yeni bir DAG yükleyerek sistemi ele geçirmeyi deneyebiliriz:

POST http://hedef-sunucu:8080/api/v1/dags
Content-Type: application/json

{
   "dag": {
     "dag_id": "new_dag_id",
     "schedule_interval": "@daily",
     "default_args": {
       "owner": "admin",
       "start_date": "2023-01-01"
     }
   }
}

Bu isteği gönderdiğimizde, sistemin bu yeni DAG'ı kabul etmesi durumunda, Airflow üzerinde yeni bir planlama gerçekleştirmiş oluruz. Böyle bir senaryo, sadece yetkisiz erişim değil, aynı zamanda kapasite aşım saldırıları (Denial of Service - DoS) gibi daha karmaşık saldırılar için de zemin hazırlayabilir.

Son olarak, böyle bir zafiyetin varlığı, sadece kullanılan teknoloji yığınını değil, aynı zamanda uygulama mimarisinin güvensizliğini de göstermektedir. Apache Airflow'un geliştirici topluluğuna bu zafiyetin rapor edilmesi gerektiği gibi, aynı zamanda bu tür durumların önlenmesi için güvenlik denetimleri ve güncellemelerin düzenli olarak yapılması önemlidir.

Bu tür zayıflıkları ve potansiyel exploit (sömürü) tekniklerini anlamak, siber güvenlik uzmanlarının veri ağı güvenliğini sağlamada alacağı tedbirler açısından kritik bir öneme sahiptir. Geliştiricilerin ve sistem yöneticilerinin güvenlik bilinci geliştirmeleri, bu tür açıkların ortaya çıkmasını önlemek adına hayati önem taşımaktadır.

Forensics (Adli Bilişim) ve Log Analizi

Siber güvenlik alanında, çeşitli uygulamalardaki güvenlik zafiyetlerini ele almak, organizasyonların tehditlere karşı daha dayanıklı olmalarını sağlamak için hayati öneme sahiptir. Apache Airflow'un Experimental API'sinde (Deneysel API) bulunan CVE-2020-13927 zayıflığı, bu noktada ciddi bir tehdit oluşturuyor. Bu zafiyet, varsayılan olarak kimlik doğrulama gerektirmediği için, kötü niyetli kullanıcıların API’ye erişim sağlamasına olanak tanıyor. Böyle bir durumu anlamak ve önlemek için adli bilişim (forensics) ve log analizi oldukça önemlidir.

Bir siber güvenlik uzmanı olarak, bu tür bir saldırının gerçekleştiğini anlamanın en etkili yollarından biri, SIEM (Güvenlik Bilgi ve Olay Yönetimi) sistemleri ve log dosyaları üzerindeki analizdir. Özellikle, “Access log” (erişim günlükleri) ve “error log” (hata günlükleri) gibi günlükler, bir saldırının izlerini tespit etmede önemli bir kaynak oluşturur. Ayrıca, bu günlüklerdeki belirli imzalar, bir saldırının varlığını ortaya koyabilir. Örneğin:

Kötü Amaçlı Erişim Denemeleri: Access log’larında, özellikle kimlik doğrulaması gerektiren uç noktaların (endpoint) anonim ya da sahte bir kullanıcı kimliği ile çağrıldığını gösteren hatalar veya olağandışı erişim denemeleri aranmalıdır. Örneğin;
```
192.168.1.10 - - [DD/Mon/YYYY:HH:MM:SS +0000] "GET /api/v1/sensitive-endpoint HTTP/1.1" 200 -
```
Eğer bu tür erişimlerin kimlik doğrulaması gerektiren direk uç noktalara yapıldığını görüyorsanız, bu bir saldırının belirtisi olabilir.
Hata Meseleleri: Error log’ları üzerinde yapmak istediğiniz inceleme, erişim ya da kimlik doğrulama hatalarının sıklığını takip etmek olmalıdır. Özellikle, kimlik doğrulama gerektiren API çağrılarının '403 Forbidden' veya '401 Unauthorized' hataları ile sonuçlanması önemli bir işarettir. Eğer bu hatalar yüksek bir oranda görünüyorsa, bunun arkasında bir saldırı olabileceği düşünülmelidir. Örnek bir hata kaydı:
```
[DD/Mon/YYYY:HH:MM:SS +0000] "POST /api/v1/sensitive-endpoint HTTP/1.1" 403 -
```
Olağan Dışı IP Adresleri: Log dosyalarında, beklenmeyen coğrafi bölgelere ait IP adreslerinden gelen erişimlere dikkat edilmelidir. Örneğin, API’nizi yalnızca belirli lokasyonlardan erişime açmışsanız, bu dışındaki IP adreslerinden gelen erişimler potansiyel bir tehdidi oluşturabilir.
Tepkisel Erişim: Erişim kontrolü eksikliği durumlarında, API’lere yönlendirilen yoğun bir istek akışı varsa, bu aynı zamanda bir DoS (Hizmet Dışı Bırakma) saldırısı gibi görünse de; aslında pişmanlık içermeyen bir erişim denemesinde belirtisi olabilir. Bu, yığın saldırıları veya kötü niyetli denemeleri anlamada yardımcı olur.

Siber güvenlik uzmanları olarak, bu tür günlükleri analiz etmek ve gerekli durumlarda önlem almak, sadece veri güvenliğini artırmaz, aynı zamanda organizasyonun güvenliğini sağlamada kritik bir rol oynamaktadır. İyi bir log yönetimi stratejisi ile, Apache Airflow gibi platformlardaki güvenlik açıklarını zamanında tespit etmek ve önlemek mümkün olacaktır. CyberFlow platformu, bu tür tehditler için etkili tespit mekanizmaları ve bildirim sistemleri geliştirmeye odaklanarak, siber güvenlik alanında öncü bir yol izleyebilir.

Savunma ve Sıkılaştırma (Hardening)

Apache Airflow'un Deneysel API'sindeki CVE-2020-13927 açığı, bir yetkilendirme atlaması (Auth Bypass) durumunu ortaya koymaktadır. Bu durum, kötü niyetli kişilerin API'ye kimlik doğrulama olmaksızın erişim sağlamasına yol açmaktadır. Dolayısıyla, Apache Airflow kullanan birçok siber mühendis ve güvenlik uzmanı için bu açığı kapatmak ve sistemlerini sıkılaştırmak kritik öneme sahiptir.

İlk olarak, bu açığı kapatmanın en etkili yollarından biri, Airflow'un yapılandırma dosyasında ilgili ayarların güncellenmesidir. Apache Airflow'un en güncel sürümünde, Deneysel API'ye erişim sağlamak için kimlik doğrulama zorunlu hale getirilmiştir. Ancak, mevcut sistemlerinizi bu güncellemeleri uygulamadan önce, aşağıdaki adımları izleyerek var olan sisteminizi korumak için bir dizi sıkılaştırma (hardening) işlemi gerçekleştirmelisiniz.

Yapılandırma dosyasında aşağıdaki değişiklikleri yapmayı dikkate alın:

[webserver]
authenticate = True

Bu ayar, Deneysel API'nin korunmasını ve yalnızca yetkilendirilmiş kullanıcıların erişim sağlamasını sağlayacaktır. Ancak sadece yapılandırma güncellemesi yeterli değildir. Güvenlik duvarı (firewall) ve web uygulama güvenlik duvarı (WAF) mantığını da gözden geçirmeniz tavsiye edilir. WAF, kötü niyetli trafiği tespit etmek ve engellemek için kullanılan bir çözümdür. WAF'ın kurallarını ihtiyaçlarınıza göre özelleştirerek, belirli IP adreslerinden gelen istekleri veya özgül endpoint'lere (uç noktalara) yapılan istekleri kısıtlayabilirsiniz. Bu bağlamda, aşağıdaki WAF kuralı bir örnek teşkil edebilir:

SecRule REQUEST_URI "@streq /api/v1/experimental" \
    "id:1001, phase:1, block, log, msg:'Unauthorized access attempt to Airflow Experimental API'"

Bu kural, belirli bir URI üzerinden gelen istekleri analiz eder ve eğer istek yetkilendirme işleminden geçemiyorsa bloke eder.

Kalıcı sıkılaştırma önerilerine gelince, sisteminizin güncel kalmasını sağlamak en önemli adımlardan biridir. Apache Airflow’un en son sürümünü kullanmak, güvenlik açıklarına karşı korumayı artırır. Ayrıca, sisteminize yalnızca güvenilir kaynaklardan gelen eklentilerin yüklenmesi gerektiğini unutmamalısınız. Eklenti ve bağımlılıkların güncel olduğundan emin olun; zira bazı eski bağımlılıklar kritik güvenlik açıklarına yol açabilir.

Ayrıca, erişim kontrollerinin sürekli izlenmesi ve güncellenmesi gerekmektedir. Kullanıcı yetkilerini düzenli olarak gözden geçirerek, gereksiz erişim izinlerinin kaldırılması sağlanabilir. Bu sayede, kötü niyetli kullanıcıların sızmasına sebep olabilecek yetkisiz erişimler minimize edilebilir.

Sonuç olarak, Apache Airflow'un Deneysel API'sindeki CVE-2020-13927 açığını kapatmak ve sisteminizi sağlıklı bir şekilde sıkılaştırmak için yukarıda belirtilen adımları uygulamak, bir "White Hat Hacker" olarak benimsenecek en iyi uygulamalardan biridir. Güvenlik açıklarını proaktif bir yaklaşımla ele almak ve sisteminizi düzenli olarak değerlendirmek, siber güvenliğinizi artıracaktır. Kötü niyetli saldırılara karşı hazırlıklı olmak, veri güvenliğinizi teminat altına alarak siber tehditlere karşı savunma hattınızı güçlendirir.