CVE-2020-3118: Cisco IOS XR Software Discovery Protocol Format String Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2020-3118 kod numarasına sahip olan Cisco IOS XR Software Discovery Protocol Format String Vulnerability, Cisco'nun IOS XR işletim sistemi için kritik bir güvenlik zafiyetidir. Bu zafiyet, Cisco Discovery Protocol (CDP) mesajlarındaki bazı alanlardan gelen string girdisinin yetersiz bir şekilde doğrulanmasından kaynaklanmaktadır. Kötü niyetli bir saldırgan, bu zafiyeti istismar ederek, hedef cihazda yönetici yetkilerine sahip bir kodun çalıştırılmasını sağlayabilir ya da cihazın yeniden başlatılmasına neden olabilir.

Bu zafiyetin tarihçesi, Cisco'nun IOS XR platformunun en son güncellemeleri ve güvenlik yamalarının uygulanması ile yakından ilişkilidir. Cisco는 düzenli olarak yazılım güncellemeleri yayımlayarak güvenlik açıklarını kapatmaya çalışsa da, özellikle eski sürümlerde bulunan doğrulama eksiklikleri, yeni saldırı vektörleri için kapılar açabilir. İlgili kütüphaneler, Cisco Discovery Protocol'ün işlendiği ve verilerin alındığı alanların doğrulama kontrollerini içermektedir. Bu kontrollerin yetersizliği, saldırganların esnek format string (format dizesi) kullanarak belirli kod parçalarını hedefleyebilmesine olanak tanır.

CVE-2020-3118 zafiyetinin etkisi, dünya genelinde birçok sektörde hissedilmiştir. Özellikle telekomünikasyon, finans, ve kamu hizmetleri gibi kritik altyapılara sahip olan alanlar, bu güvenlik açığına karşı daha duyarlıdır. Bir saldırgan, bu zafiyeti kullanarak ağ cihazlarına erişim sağlayabilir ve böylece ağ üzerinde veri sızıntısına, hizmet kesintisine ya da daha karmaşık saldırı senaryolarına kapı açabilir. Özellikle, RCE (Uzak Kod Çalıştırma) etkisi, bir cihazın tam kontrolünün kötü niyetli bir saldırgana geçmesini mümkün kılar, bu da büyük bir güvenlik riski teşkil eder.

Gerçek dünya senaryoları üzerinden değerlendirdiğimizde, bu tür bir açık kötüye kullanıldığında, büyük bir telekomünikasyon şirketinin ağ altyapısına sızmak ya da kritik bir finans kuruluşunun veri merkezini hedef almak için kullanılabilir. Örneğin, bir saldırgan, CDP mesajlarının içeriğine uygun kod parçalarını yerleştirerek, cihazın otomatik yeniden başlatılmasına ya da daha da tehlikeli olan durumlarda, sistemin yönetici yetkilerine sahip komutları çalıştırmasına olanak tanıyabilir. Bu tür etkilere maruz kalan kurumlar, büyük mali kayıplar yaşayabilir ve ayrıca reputasyon kaybına da uğrayabilir.

Sonuç olarak, CVE-2020-3118 zafiyeti, Cisco IOS XR kullanıcıları için önemli bir tehdit oluşturmaktadır. Kuruluşların, bu tür zafiyetler için düzenli güncelleme ve güvenlik taramaları gerçekleştirmeleri, olumsuz etkileri en aza indirmek açısından kritik öneme sahiptir. Ayrıca, güvenlik açıklarının farkında olmak ve bu açıkları minimize etmek için güçlü bir güvenlik altyapısı kurmak, her bağımsız ağ yöneticisinin alması gereken bir önlemdir.

Teknik Sömürü (Exploitation) ve PoC

Cisco IOS XR, ağ donanımları üzerinde yaygın olarak kullanılan bir işletim sistemidir. Ancak, CVE-2020-3118 zafiyeti, Cisco Discovery Protocol (CDP) üzerinden kötü niyetli bir saldırıya açık olan bir durum ortaya çıkarır. Bu zafiyetin varlığı, saldırganların yetkilendirme olmaksızın (unauthenticated) ağ cihazlarına erişim sağlamasına ve kritik sistemlerde uzaktan kod yürütme (RCE - Remote Code Execution) gerçekleştirmesine olanak tanır.

CVE-2020-3118 zafiyetinin teknik sömürü aşamalarını anlamak için, öncelikle Cisco Discovery Protocol’ün nasıl çalıştığını ve Cisco IOS XR üzerindeki potansiyel etkilerini incelememiz gerekiyor. CDP, Cisco cihazları arasında durum bilgilerini ve diğer çeşitli verileri paylaşan bir protokoldür. Bu protokol, cihaz yapılandırmalarını ve bağlantı durumlarını gözlemlemek için kullanışlıdır, ancak kötü niyetli biri bu protokol aracılığıyla zafiyetten yararlanabilir.

İlk olarak, Cisco IOS XR'de zafiyeti tetiklemek için ihtiyaç duyulan koşulları sağlamak önemlidir. Bunun için aşağıdaki adımları izleyebiliriz:

Ağı Taramak: Saldırgan, hedef ağda aktif olan Cisco cihazlarını keşfetmek için port tarama ve protokol analizi yapmalıdır. Aylık rutinlerde ağda yer alan tüm CDP destekleyen cihazları listelemek için show cdp neighbors komutunu kullanabiliriz.
CDP Mesajlarının Dinlenmesi: Hedef ağda CDP mesajlarını dinlemek için bir sniffer aracı kullanılabilir. tcpdump veya Wireshark gibi araçlar, bu protokolden gelen paketleri analiz etmek için faydalıdır. Bu aşamada, kaç tane cihaz ve hangi bilgilerin paylaşıldığını öğrenmek, sonraki adımlar için kritik öneme sahiptir.
Zarf Mesajını Hazırlamak: Zafiyeti tetiklemek için, yanlış bir şekilde hazırlanmış CDP mesajları kullanarak hatalı alanları hedef alabiliriz. Örneğin, gönderilecek CDP mesajının içinde dengeleyici bir format dizesi eklemek, sunucunun (target) bu girişe yanlış tepki vermesine neden olabilir.

import socket

# Hedef cihazın IP adresi
target_ip = "192.168.1.1"
target_port = 520

# Hedef IP ile bağlantı şeması
payload = b'\x00' * 100  # Zafiyeti tetikleyecek veri

# Socket ayarları
sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
sock.sendto(payload, (target_ip, target_port))

Sömürü: Yukarıda oluşturulan payload, hedef cihaza gönderildiğinde, Cisco IOS XR işletim sistemi, bu hatalı giriş üzerinde çalıştığında, bir buffer overflow (buffer taşması) durumu gerçekleşebilir. Bunun sonucunda, sızmış olan kod (potansiyel bir shell veya başka bir zararlı kod) çalıştırılabilir ve cihaz üzerinde yönetici (admin) hakları elde edilmiş olur.
Sonuçların Değerlendirilmesi: Zafiyetin başarıyla kullanılması durumunda, kötü niyetli kodun çalışıp çalışmadığı kontrol edilmelidir. Hedef cihaz üzerindeki günlükler incelenerek saldırının izleri belirlenebilir ve varsa ağ üzerinden gelen diğer anormallikler gözlemlenmelidir.

Bu tür bir zafiyetin varlığı, ağ güvenliğini tehlikeye atabilir. Güvenlik önlemleri almak, kapsamlı güncellemeleri sürekli uygulamak ve ağ izleme sistemleri kullanmak, bu tür durumların önüne geçmek için kritik öneme sahiptir. White hat hackerlar olarak, bu tür zafiyetlerin farkında olup, neler yapabileceğimizi anlamamız ve bu durumları önlemek amacıyla proaktif bir tutum sergilememiz gerekmektedir. Cisco sistemlerini korumak için sürekli eğitim ve bilinçlendirme süreçleri oldukça önemlidir.

Forensics (Adli Bilişim) ve Log Analizi

Cisco IOS XR üzerindeki CVE-2020-3118 zafiyeti, özellikle ağ altyapılarını koruma altında tutan güvenlik uzmanları için dikkate alınması gereken kritik bir açığı temsil ediyor. Rediscovery Protocol (CDP) mesajlarından gelen belirli alanlardan doğru şekilde doğrulama yapmayan bu yazılım dağıtımı, kötü niyetli bir saldırganın cihazda yönetici ayrıcalıklarıyla kod çalıştırmasına (RCE) veya cihazın yeniden yüklenmesine (reload) neden olmasına olanak tanıyor. Bu durum, ağ cihazlarının işleyişini ciddi şekilde etkileyebilir.

Bir siber güvenlik uzmanı olarak, bu tür bir saldırıyı tespit etmek için öncelikle SIEM (Security Information and Event Management) sistemlerine başvurulmalıdır. Log dosyaları, her zaman potansiyel bir saldırının izlerini taşır. Özellikle, Access log ve Error log gibi önemli log dosyalarında aşağıdaki imzalara (signature) dikkat edilmelidir:

Anormal CDP Mesajları: Cisco Discovery Protocol mesajları, genellikle belirli bir yapı ve formata sahiptir. Eğer loglarda beklenmeyen veya standart dışı karakter setleri ile birlikte gelen mesajlar tespit edilirse, bu durum potansiyel bir exploit girişimi olabilir. Ayrıca, giriş yapmaya çalışan cihazların IP adresleri ve gönderilen CDP paketlerinin boyutu da dikkatlice incelenmelidir.
Hatalı Giriş Denemeleri: Log dosyalarındaki tekrarlayan hatalı giriş denemeleri, potansiyel bir saldırganın mevcut kimlik bilgilerini yanlış kullanmaya çalıştığını gösterebilir. Özellikle, ana cihazlar üzerinde olağandışı bir şekilde erişim talepleri dikkat çekici olmalıdır.
Anomalik Trafik Paternleri: Ağ trafiği izlenerek, beklenmeyen veya olağandışı ağ davranışları (anomalik trafik) tespit edilebilir. Bu tür bir davranış, olası bir saldırının belirtisi olabilir ve ağ yönetimi sistemleri tarafından uyaranlarla önceleyici bir şekilde ele alınmalıdır.
Yüksek Sistem Yükü: Cihazın işlem yükünün zaman zaman arttığına dair loglar, bir saldırının etkisini gösterebilir. Özellikle, bir ‘reload’ işlemi sonrası sistemin tekrar erişilebilirliği ile ilgili loglar incelenmelidir. Eğer cihaz aniden yeniden başlatıldıysa, bu durum kötü niyetli bir etkinlikten kaynaklanıyor olabilir.

Kod blokları aracılığıyla belirli log tespitlerini göz önüne alabiliriz:

# CDP Mesajları
Jan 12 10:25:30.123: CDP: Device-ID = Attacker_Device, Address = 192.168.1.5
Jan 12 10:25:30.124: CDP: Unsupported character string detected in the message payload

Herhangi bir anormal input veya beklenmedik bir karakter setini hemen kaydetmeli ve araştırmalısınız.

# Access Log Örnekleri
Jan 12 10:30:15.456: %SEC-6-IPACCESSLOGP: list 101 denied tcp 192.168.2.1 host 192.168.1.5 eq 22
Jan 12 10:30:15.456: %SEC-6-IPACCESSLOGP: list 101 accepted tcp 192.168.2.1 host 192.168.1.2 eq 80

Bu tür loglar, ağınıza erişim sağlamaya çalışan IP adreslerinin ve bunların geçişlerinin ayrıntılarını içerir.

CVE-2020-3118'in potansiyel etkilerinin farkında olarak, çoğu güvenlik uzmanı, ağları ve loglarını düzenli olarak izleyip analiz etmeli ve herhangi bir anormalliğin hemen üzerine gitmelidir. Bu tür tehditlere karşı etkin bir savunma mekanizması kurmak, kurumların güvenlik dışı kalmasını engelleyecek en önemli adımlardan biridir. Sisteminizi güncel tutmak, zafiyetleri yamalamak ve incelenen logları sürekli kontrol etmek ise siber güvenlik perspektifinden olmazsa olmazlardandır.

Savunma ve Sıkılaştırma (Hardening)

Cisco IOS XR yazılımında bulunan CVE-2020-3118 zafiyeti, özellikle Cisco Discovery Protocol (CDP) mesajları üzerinde yürütülen format string (format dizesi) saldırılarına zemin hazırlar. Bu zafiyet, saldırganların kimlik doğrulaması gerektirmeden yönetici yetkileriyle (administrative privileges) kod yürütmesine (RCE - Remote Code Execution) veya etkilenen bir cihazın yeniden başlatılmasına (reload) yol açabilir. Bu bağlamda, zafiyetin önlenmesi ve sistemin güvenliğinin artırılması, siber güvenlik uzmanları için büyük bir önem taşımaktadır. İşte bu açıktan korunmanın yolları ve sıkılaştırma stratejileri.

Öncelikle, zafiyetin etkilerini en aza indirmek için Cisco IOS XR cihazlarında en güncel yazılım sürümlerinin kullanılması kritik öneme sahiptir. Cisco, bu tür güvenlik açıklarını gidermek üzere yamalar yayınlamaktadır. Bu nedenle, Cisco’nun güvenlik bültenlerini ve güncellemelerini düzenli olarak takip etmek ve uygulamak, cihazların güvenlik seviyesini artırır. Güncelleme yaparken, özellikle aşağıdaki komutlar ile sistem durumunu kontrol edebilir ve güncellemeleri uygulayabilirsiniz:

show version

ve gerekli güncellemeleri yapmak için:

install add {image_file} activate commit

Bir diğer güvenlik önlemi, Cisco Discovery Protocol'un (CDP) kullanımının kısıtlanmasıdır. CDP, ağ yöneticileri için faydalı bir araç olsa da, bu hizmetin devre dışı bırakılması, potansiyel saldırı yüzeylerini azaltır. Bu ayarları yapmak için aşağıdaki komutu kullanabilirsiniz:

no cdp run

Alternatif olarak, CDP'yi sadece güvenilir bağlantılarda etkinleştirmek ve yönetmek, saldırganların yararlanabileceği fırsatları sınırlamak için önemlidir.

Firewall (WAF) ve güvenlik grubu kuralları da önemli bir savunma katmanıdır. Aşağıda yer alan kurallar, ilgili trafiği kilitleyerek potansiyel saldırıları önleyebilir:

access-list 100 deny ip any any
access-list 100 permit tcp any any eq 2000

Burada, istenmeyen IP trafiğine kısıtlamalar koyarak yalnızca gerekli olan protokollerin ve bağlantı noktalarının kullanılmasına izin verilmektedir. Bu tür kurallar, sisteminize yönelik olası sızma girişimlerinin önüne geçebilir.

Son olarak, sıkılaştırma (hardening) politikaları uygulamak da gereklidir. Bu politika çerçevesinde, özellikle aşağıdaki önerileri göz önünde bulundurmanız faydalı olacaktır:

Kullanıcı Hesaplarının Güvenliği: Gereksiz hesapları kaldırmak ve mevcut kullanıcıların yetkilerini minimize etmek. "Admin" yetkilerinin yalnızca yetkili kişilere verilmesi.
Şifre Güvenliği: Güçlü parolalar kullanılmalı ve periyodik olarak değiştirilmelidir. Ayrıca, çok faktörlü kimlik doğrulama (MFA) gibi ek güvenlik önlemleri önerilmektedir.
Ağ Segmentasyonu: Sosyal mühendislik ve dahili tehditle mücadelede etkili olan ağ segmentasyonunu sağlamak. Bu, tehditlerin yayılmasını önler.
Güvenlik İzleme ve Kayıt: Tüm ağ trafiğinin izlenmesi ve loglanması, potansiyel tehditleri hızlıca tespit etmekte faydalı olacaktır.
Penetrasyon Testleri: Düzenli olarak iç ve dış penetrasyon testleri yapmak, potansiyel zafiyetleri belirlemek ve düzeltmek için gereklidir.

Bütün bu önlemler, CVE-2020-3118 gibi zafiyetlerin etkilerini en aza indirmek ve Cisco IOS XR cihazlarının güvenliğini artırmak açısından büyük önem taşımaktadır. Siber dünyada sürekli değişen tehditlere karşı koymak için, bu önlemleri uygulamak ve güncel kalmak şarttır.