CVE-2020-16846: SaltStack Salt Shell Injection Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2020-16846, SaltStack Salt ürününde bulunan ve uzaktan kod çalıştırma (RCE - Remote Code Execution) imkanı tanıyan ciddi bir güvenlik açığıdır. Bu zafiyet, Salt API'sine bağlantı kurabilen yetkisiz kullanıcıların kötü niyetli shell komutları göndermesine ve bu komutları çalıştırmasına olanak tanımaktadır. Salt, otomasyon ve uzaktan yönetim alanında yaygın bir şekilde kullanılan bir araçtır ve bu nedenle hedef aldığı sistemler genellikle büyük ölçekli altyapılara yayılmaktadır.

Zafiyetin kökeni, Salt API'sının kullanıcı girdilerini yeterince doğrulamamasıdır. Özellikle, SSH istemcisi üzerinden gönderilen komutlara yönelik bir blöf yaparak saldırganların sisteme zararlı kod enjekte etmelerine olanak sağlar. Aynı zamanda bu açık, gerekli güvenlik önlemlerinin alınmaması durumunda sistem yöneticilerinin ciddi risklerle karşılaşmasına neden olmaktadır. Özellikle büyük bulut hizmet sağlayıcıları ve veri merkezi operatörleri, bu açığı kullanarak salt (tuz) komutlarını kötüye kullanmaya çalışabilir.

Bu zafiyet, yalnızca belirli bir kütüphane veya modül ile sınırlı değildir. SaltStack'de uygulanan çeşitli bileşenlerin etkileşiminde ortaya çıkmıştır. Özellikle, Salt API'sı ile iletişim kuran herhangi bir istemcinin, yetkisiz erişim ve shell enjeksiyonları yoluyla sistemdeki hassas verilere ulaşabilmesi mümkündür. Bu durum, özellikle finans, sağlık ve kamu sektörü gibi kritik alanlarda çalışan organizasyonlar için son derece tehlikeli bir senaryo sunmaktadır. Çünkü bu sektörlerdeki veri gizliliği ve sistem bütünlüğü, kullanıcıların güvenliği açısından hayati öneme sahiptir.

Dünya genelinde bu zafiyetin yarattığı etki, birçok organizasyonun altyapısında ciddi sorunlara yol açmıştır. Örneğin, büyük bir finansal kurum, Salt API'sı aracılığıyla gerçekleştirilen bir saldırı sonucunda müşteri verilerini kaybetmiştir. Saldırganlar, zafiyeti kullanarak sunucular üzerindeki yetkileri arttırmış ve ardından önemli verileri çalmıştır. Diğer yandan, sağlık sektöründeki bir kuruluş, SaltStack kullanan sistemlerinin sızdırılması nedeniyle ciddi yasal sorunlarla yüzleşmiştir. Bu gibi durumlar, bir zafiyetin zayıf bir halkada nasıl büyük sonuçlara yol açabileceğini göstermektedir.

Zafiyetin etkilerini minimize etmek ve sistemlerinizi korumak için, öncelikle SaltStack'in en güncel sürümüne güncelleme yapılması önerilmektedir. Güncellemeler, genellikle bilinen zafiyetleri düzeltmekte kritik öneme sahiptir. Ayrıca, Salt API'sının erişim sınırlarını kısıtlamak ve yetkilendirme süreçlerini güçlendirmek, özellikle de sistem yönetimi için oldukça önemlidir.

SaltStack ve diğer benzeri araçları kullanıyorsanız, sürekli güncellemeleri takip etmek, güvenlik açıklarını tespit etmek için düzenli güvenlik taramaları yapmak ve gerekli önlemleri almak, olası kötüye kullanımları en aza indirgemeye yardımcı olacaktır. Bu tür zafiyetler, yalnızca bir kez ortaya çıktığında durumu ele almanın ötesinde, sürekli bir güvenlik anlayışının benimsenmesi gerektiğini de hatırlatmaktadır.

Teknik Sömürü (Exploitation) ve PoC

SaltStack Salt, modern IT altyapılarında konfigurasyon yönetimi ve otomasyon amacıyla sıklıkla kullanılan bir araçtır. Ancak CVE-2020-16846 zafiyeti, kötü niyetli saldırganlara Salt API üzerinden shell injection (kabuk enjeksiyonu) yolu ile uzaktan kod çalıştırma (RCE) yeteneği kazandırabilir. Bu durum, güvenli bir sistem için ciddi bir tehdit oluşturmakta olup, bu yazıda bu zafiyetin sömürülmesi için gereken adımları inceleyeceğiz.

Zafiyeti sömürmek için öncelikle Salt API'ye erişim sağlamamız gerekiyor. Eğer bir saldırgan, Salt API'ye erişim izni olmadan bağlantı yapabiliyorsa, aşağıdaki adımlar izlenerek shell injection saldırısı gerçekleştirilebilir.

1. Hedef API'ye Bağlanma: İlk adım olarak, Salt API'ye erişim sağlamak için bir HTTP istemcisi kullanabilirsiniz. PycURL veya requests kütüphanesi ile bu işlemi yapabilirsiniz. Aşağıda, bir bağlantı örneği verilmiştir:

import requests

url = "http://hedef-ip:8000"
headers = {
    "Accept": "application/json",
    "Content-Type": "application/json"
}
response = requests.get(url, headers=headers)
print(response.text)

2. Shell Enjeksiyonu Denemeleri: Salt API'nin bazı uç noktalarına payload (yük) ekleyerek shell enjeksiyonlarını denemeye başlayabiliriz. Aşağıda bir örnek verilmiştir. Bu senaryoda cmd parametresine bir komut ekleyerek shell enjeksiyonu gerçekleştireceğiz.

payload = {
    "client": "local",
    "tgt": "all",
    "fun": "cmd.run",
    "arg": "whoami; ls -la"
}

response = requests.post(f"{url}/", json=payload, headers=headers)
print(response.json())

Yukarıdaki örnekte, "whoami" komutu çalıştırılır ve hedef sistemdeki kullanım bilgisi elde edilir. ls -la komutu ile de mevcut dizindeki dosyalar listelenir. Bu, saldırganın sistem bilgilerini toplamasına olanak tanır.

3. Yanıtın İncelenmesi: Saldırı başarılı olursa, Salt API bir JSON yanıtı dönecektir. Bu yanıtı dikkatli bir şekilde incelemek önemlidir. Bu yanıt örneği, komutun gerçekten çalıştığını gösterir.

4. Veri Çalma: Komut çalıştırma işlemi başarılı olursa, saldırgan daha gelişmiş komutları hedef sistemde çalıştırabilir. Örneğin, ağ bilgilerini almak veya kritik dosyaları çalmak için ek komutlar kullanılabilir.

5. İzleri Silme: Bir beyaz şapkalı hacker olarak, bu tür bir testi yaparken, sistem üzerinde herhangi bir kalıntı bırakmadan dikkatli olmalısınız. Bu, ilerideki analizlerde bu testin izlerinin bırakılmaması için önemlidir.

Bu tür bir zafiyetin bulunması ve kullanılması, sistem yöneticileri için yüksek risk barındırmaktadır. Zafiyetin etkilerinden korunmak için SaltStack güncellemeleri uygulanmalı ve güvenlik yapılandırmaları dikkatlice kontrol edilmelidir. Ayrıca, Salt API'ye erişim ihtiyacı olan kullanıcıların ve uygulamaların yeterli yetkilere sahip olması sağlanmalıdır.

CVE-2020-16846 zafiyetinin etkilerinin minimize edilmesi için proaktif sızma testleri yapılması ve açıkların düzenli olarak taranması önemlidir. Unutulmamalıdır ki, her bir açık, sistemin güvenlik durumunu alternatif bir tehdit haline getirebilir; bu nedenle, bu tür zafiyetleri kontrol altında tutmak için gereken önlemleri almak hayati öneme sahiptir.

Forensics (Adli Bilişim) ve Log Analizi

SaltStack Salt, güçlü bir yapılandırma yönetim aracı olarak bilinir, ancak CVE-2020-16846 zafiyeti, kötü niyetli kişilerin Salt API üzerinden shell injection (shell enjeksiyonu) gerçekleştirerek sistemde uzaktan kod çalıştırmalarına (RCE) olanak tanımaktadır. Bu durum, Salt API'ye ağ erişimi olan kimliği belirsiz bir kullanıcının, SSH istemcisi aracılığıyla kod çalıştırmasını mümkün kılmaktadır. Geliştiricilerin dikkat etmesi gereken bu zafiyet, birçok organizasyon için ciddi bir güvenlik açığı oluşturabilir.

Bu tarz bir saldırının gerçekleşip gerçekleşmediğini belirlemek için siber güvenlik uzmanlarının (White Hat Hacker) SIEM (Güvenlik Bilgi ve Olay Yönetimi) sistemleri ve log dosyalarını dikkatli bir şekilde analiz etmeleri gerekmektedir. Özellikle erişim logları (access log) ve hata logları (error log) üzerinde yoğunlaşmak kritik öneme sahiptir.

Log analizi sırasında, saldırının meydana geldiğini ifade eden bazı belirgin imzalar bulunmaktadır. Bunlar, aşağıdaki gibi potansiyel olarak zararlı sorgular veya aktiviteler içerebilir:

1. Shell Komutları İçeren Sorgular: Log dosyalarında, bilindik shell komutlarının (örneğin, ls, cat, wget, curl) kullanıcı talepleri içinde yer alması durumunda, bu potansiyel bir saldırı göstergesi olabilir. Örneğin,

   GET /run_command?cmd=ls -la

2. Aşırı Aylık Talepler: Erişim loglarında bir IP adresinin kısa bir süre içinde çok sayıda istek yaptığı durumlar da dikkat çekici. Bu, brute force (kaba kuvvet saldırısı) veya bir deneme yanılma saldırısını gösterebilir.

3. Anormal Kullanım Desenleri: Kullanıcıların normal davranışlarının dışındaki hareketler, örneğin; sistem yöneticisi tarafından sık kullanılmayan API uç noktalarına erişim sağlanması, failopen (açık kalma) durumları veya yetkilendirilmiş işlemden farklı isteklerin bulunmasına neden olabilir.

4. Hata Mesajları: Hata logları üzerinde, daha önce hiç karşılaşılmayan veya aşina olunmayan hatalar bulunuyorsa, bu zararlı bir etkinliğin işareti olabilir. Örneğin:

   Error: Invalid command or command execution failed

5. Farklı Kaynak IP Adresleri: Loglarda görülen erişim taleplerinin farklı kaynak IP adreslerinden gelmesi, yetkilendirilmemiş erişim girişimlerinin bir göstergesi olabilir. Özellikle bu IP adreslerinin coğrafi olarak birbirinden uzak yerlerden gelmesi, saldırının organize bir şekilde yapıldığına işaret edebilir.

Bu tür imzalar üzerinde dikkatlice inceleme yapıldığında, sahte erişimlerin ve potansiyel saldırganların tespit edilmesi sağlanabilir. Log analizi, sadece saldırıları tespit etmekle kalmaz, aynı zamanda gelecekteki saldırılara karşı savunma stratejileri geliştirmek için değerli bilgiler sağlar.

Güvenlik uzmanları, log analizi ve SIEM çözümlerinin entegrasyonunu güçlendirerek, SaltStack Salt gibi araçlardaki zafiyetlerden yararlanarak sisteme sızabilecek kötü niyetli aktörlerin önüne geçebilirler. Tüm bu önlemler, bir organizasyonun siber güvenlik duruşunu güçlendirmek için kritik öneme sahiptir.

Sonuç olarak, SaltStack Salt’ta bulunan CVE-2020-16846 gibi zafiyetlerin takibi ve analizi, siber güvenlik mücadelesinin bir parçasıdır ve bu bağlamda log analizi görevini üstlenen profesyoneller için kritik bir sorumluluktur. Gelişmiş log izleme ve analiz araçları kullanarak, potansiyel tehditleri önceden tespit edebilir ve bu tür kötü niyetli faaliyetlerin etkilerini azaltabilirsiniz.

Savunma ve Sıkılaştırma (Hardening)

SaltStack Salt'da tespit edilen CVE-2020-16846 zafiyeti, saldırganların Salt API'ye bağlı bir SSH istemcisi aracılığıyla shell injection (shell enjeksiyonu) saldırıları gerçekleştirmesine olanak tanımaktadır. Bu durum, herhangi bir kullanıcının (kimlik doğrulaması gerektirmeden) sistem üzerinde yetki kazanmasına yol açabilir. Shell enjeksiyonları, kullanıcıların sistem üzerinde kötü niyetli komutlar çalıştırmasını sağlarken, daha ciddi zararlara yol açabilecek bir uzaktan kod çalıştırma (RCE - Remote Code Execution) riskini de beraberinde getirmektedir.

Bu tür bir zafiyetin etkisini azaltmak amacıyla, bir dizi savunma ve sıkılaştırma (hardening) önlemi almak son derece önemlidir. Öncelikle, Salt API için güvenlik yapılandırmalarını gözden geçirmek gerekmektedir. SaltStack'in en güncel versiyonuna güncellenmesi, bilinen güvenlik açıklarının kapatılmasına katkıda bulunur ve güncellemelerle birlikte gelen güvenlik yamalarını uygulamak kritik bir adımdır.

Ayrıca, Salt API erişim noktalarına kimlik doğrulaması eklemek de önemli bir güvenlik sağlar. Böylece, yalnızca yetkilendirilmiş kullanıcıların erişimine izin verilerek, saldırıya kapalı bir ortam oluşturulmuş olur. Mümkünse Salt API'yi yalnızca iç ağda kullanmak ve dışarıya kapatmak, dikey saldırı yüzeyini önemli ölçüde azaltacaktır.

Firewall (WAF - Web Uygulama Güvenlik Duvarı) kurallarının etkin kullanımı da savunma stratejisinin bir parçasıdır. Aşağıda, SaltStack Salt için ileri düzey firewall (WAF) kuralları önerilmektedir:

# Gelen istekleri sınırlayan kural
SecRule REQUEST_HEADERS:User-Agent "Zafiyet_Taramasi" "id:1000003,phase:1,deny,status:403"

# Belirli IP adreslerinden gelen istekleri engelleme
SecRule REMOTE_ADDR "@ipMatch 192.168.1.100,192.168.1.101" "id:1000004,phase:1,deny,status:403"

# GET ve POST isteklerini filtreleyen kural
SecRule REQUEST_METHOD "GET|POST" "id:1000005,phase:2,id:403"

Yapılan bu yapılandırmalar, potansiyel tehditlerin tespit edilmesine ve engellenmesine yardımcı olur. Bunun yanı sıra, tüm API çağrıları üzerinde izleme ve inceleme yapmak, şüpheli aktiviteleri zamanında tespit etmenin en etkili yoludur. Elde edilen log verilerini analiz ederek, risk değerlendirmesi yapmak ve oluşabilecek saldırı türlerini önceden tahmin etmek mümkün hale gelir.

Kalıcı sıkılaştırma (hardening) önerileri arasında ayrıca, Sunucu Güvenlik İhlal Önleme (HIPS) ve Uygulama Hedefli Güvenlik (WAF) çözümlerinin uygulanması da önerilmektedir. Bu tür yazılımlar, tanımlı kurallara göre şüpheli etkinlikleri otomatik olarak engelleme ve güncellemeleri yönetme becerisine sahiptir. Ek olarak, erişim kontrol listeleri (ACL - Access Control Lists) oluşturularak, sistem ve veri kaynaklarına erişim kontrolü sağlamak önemlidir.

Bitirirken, sisteminizin sürekli olarak güncel tutulması, dış saldırılara karşı en etkili savunma yollarından biridir. Aynı zamanda, kullanıcıların güvenliğini artırmak için bilinçlendirilmesi ve eğitimlere tabi tutulması da uzun vadeli bir güvenlik stratejisi için gereklidir. Unutulmaması gereken en önemli nokta, güvenlik sürecinin asla sonlanmadığı ve sürekli olarak gözden geçirilmesi gerektiğidir.