CVE-2020-5847: Unraid Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Unraid, kullanıcılarına basit ve esnek bir depolama çözümü sunan popüler bir işletim sistemidir. Ancak, 2020 yılında ortaya çıkan CVE-2020-5847 zafiyeti, bu sistemin güvenlik açısından ne denli savunmasız olabileceğini gözler önüne sermektedir. Bu zafiyet, bilhassa kullanıcıların dosya yönetimi ve sistem kontrolü alanındaki işlemlerinde büyük tehditler yaratmakta olup, kötü niyetli aktörler tarafından uzaktan kod yürütme (RCE - Remote Code Execution) imkanı sağlamaktadır. Burada dikkat çeken nokta, bu zafiyetin, CVE-2020-5849 ile birleşerek daha kapsamlı bir saldırı vektörü oluşturabilmesidir.

CVE-2020-5847 zafiyetinin arka planına girdiğimizde, Unraid sisteminin, kullanıcı dosyalarını işlemek üzere kullandığı PHP dilinde bulunan "extract" fonksiyonunun güvensiz bir biçimde kullanımından kaynaklandığı anlaşılmaktadır. Bu fonksiyon, kullanıcıdan alınan verilere güvensiz bir şekilde erişim sağlamakta ve kötü niyetli bir kullanıcının sistemdeki kök (root) yetkileri ile komut çalıştırmasına olanak tanımaktadır. Özellikle web tabanlı yönetim arayüzü üzerinden kötü niyetli bir yük (payload) yerleştirildiğinde, siber suçlular bu zafiyeti kullanarak sistemin tam kontrolünü ele geçirebilirler.

Gerçek dünya senaryolarına baktığımızda, bu tür bir zafiyetin sağlık, finans ve bilgi teknolojileri gibi kritik sektörler üzerinde yaratabileceği etkiler son derece yıkıcı olabilir. Örneğin, bir hastane bilgi yönetim sisteminin Unraid kullanarak çalıştığını düşünelim. Bir saldırganın bu zafiyeti kullanarak verilere erişimi ele geçirmesi, hasta verilerinin çalınması veya sistemin çalışamaz hale gelmesine yol açabilir. Aynı şekilde, finans sektöründeki bir veri bağlantısı üzerinde gerçekleştirilen uzaktan kod yürütme (RCE) saldırısı, milyonlarca dolarlık mali kayıplara neden olabilir.

Zafiyetin etkisini artıran, kullanılacak olan kütüphanenin spesifik durumlarıdır. PHP gibi dinamik dillerde, kullanıcıdan gelen verilerin doğrudan sistem üzerinde işlenmesi durumunda, doğrulama yapmadan işlemlerin gerçekleştirilmesi pek çok güvenlik açığına yol açabilir. Extract fonksiyonu, özellikle dizilerle çalışırken veri manipülasyonuna olanak tanır ve bu durum zafiyeti daha belirgin hale getirmektedir. Bu nedenle, geliştiricilerin kullanıcıdan gelen her tür veri girişi üzerinde sıkı denetimler ve doğrulamalar gerçekleştirmesi kritik öneme sahiptir.

CVE-2020-5847 zafiyetinin yarattığı sonucun geçerliliği, dünya genelinde Unraid kullanıcılarına ilişkin istatistiklerle de desteklenmektedir. Zafiyetin keşfedilmesinin ardından, birçok şirket önleyici tedbirler almak zorunda kalmış ve sistem güncellemelerini hızlandırmıştır. Bu bağlamda, Unraid kullanıcılarının yazılımlarını en güncel versiyonlarla güncellemeleri ve herhangi bir güvenlik açığına yol açabilecek durumları göz önünde bulundurmaları gerektiği aşikardır. Kötü niyetli saldırılara karşı en etkili savunmanın, zayıf noktaları tespit edip bu noktalardaki savunmaları güçlendirmek olduğu unutulmamalıdır. Dolayısıyla, ister bir bireysel kullanıcı olsun, isterse büyük bir kurum, her seviyede güvenlik önlemlerini artırmak, siber tehditlere karşı en önemli adımdır.

Teknik Sömürü (Exploitation) ve PoC

Unraid, popülaritesi artan bir işletim sistemi olup, özellikle ev kullanıcıları ve küçük işletmeler arasında veri depolamak ve yönetmek için yaygın olarak kullanılmaktadır. Ancak, CVE-2020-5847 koduyla bilinen bir uzaktan kod yürütme (RCE) zafiyeti, kötü niyetli bireylerin sistem üzerinde kök (root) erişim elde etmesine olanak tanımaktadır. Bu durum, Unraid'ın PHP extract fonksiyonunun güvensiz kullanımı nedeniyle gerçekleşmektedir. Bu zafiyet, CVE-2020-5849 ile birleştirilerek ilk erişim sağlamak için kullanılabilir.

Saldırının gerçekleşebilmesi için önce hedef sistemin açıklarını anlamamız gerekir. Senaryomuzda, bir Unraid sunucusuna uzaktan erişim sağlamak isteyen bir saldırganı ele alalım. Saldırgan, öncelikle sistemin hangi versiyonunu kullandığını öğrenmeli ve ardından bu versiyonda CVE-2020-5847 zafiyetinin geçerli olup olmadığına bakmalıdır. İşte adım adım bu zafiyetin nasıl sömürülebileceği:

Hedef Belirleme: Hedef sistemin Unraid versiyonunu incelemek için curl veya http istemcisi kullanarak sunucuyu sorgulayabilirsiniz.

   curl -I http://&lt;hedef-ip&gt;

Versiyon Kontrolü: Elde edilen başlık bilgileri içerisinde Unraid versiyon bilgisini bulmalısınız. Unraid’ın CVE-2020-5847 zafiyetine sahip olduğu versiyonları tespit edin.
Payload Hazırlama: Saldırı payload’ınızı hazırlamalısınız. Zafiyeti kullanarak PHP'nin extract fonksiyonunu kötüye kullanmak için zararlı bir PHP dosyası oluşturmanız gerekecek. Örnek bir payload.php dosyası içeriği aşağıdaki gibi olabilir:

   &lt;?php
   $command = $_GET['cmd'];
   system($command);
   ?&gt;

Saldırı Gerçekleştirme: Hazırlanan payload’ı hedef sisteme göndermek için HTTP istekleri kullanabilirsiniz. Bunun için aşağıdaki gibi bir istek oluşturabilirsiniz:

   curl -X GET "http://&lt;hedef-ip&gt;/path/to/payload.php?cmd=whoami"

Sonuçların İncelenmesi: Başarılı bir şekilde uzaktan kod yürüttüğünüzde, sunucudan gelen cevap ile mevcut kullanıcı bilgisini görebilirsiniz. Eğer her şey doğru giderse, whoami komutunu çalıştırdığınızda yanıt olarak root almanız muhtemeldir.
Güvenlik Önlemleri: Bu tür zafiyetlerden korunmak için, her zaman güncel yazılımlar kullanmanız ve belirli bir güvenlik duvarı (firewall) yapılandırması sağlamanız önerilir. Ayrıca, güvenlik güncellemelerini takip etmeli ve sisteminizdeki gereksiz servisleri devre dışı bırakmalısınız.

Sonuç olarak, Unraid üzerindeki CVE-2020-5847 zafiyeti, siber saldırganların sistem üzerinde kök seviyede kontrol sağlamasına olanak tanımaktadır. Güvensiz PHP fonksiyonlarının kötüye kullanımı, birçok sistemde benzer sonuçlara yol açabilir. Bu nedenle, tüm kullanıcıların dikkatli olması ve güvenlik uygulamalarını titizlikle takip etmesi gerekmektedir. Unraid gibi popüler platformlar için güvenlik açıklarını kapatmak, sadece yazılım geliştiricilerin değil, aynı zamanda kullanıcıların da sorumluluğundadır.

Forensics (Adli Bilişim) ve Log Analizi

Unraid, kullanıcılara sunduğu esneklik ve kolaylıkla tanınan bir depolama çözümüdür. Ancak, 2020 yılında keşfedilen CVE-2020-5847 zafiyeti (vulnerability), potansiyel bir RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) saldırısı riski taşımaktadır. Bu zafiyet, Unraid’in PHP’nin extract fonksiyonunu güvensiz bir şekilde kullanmasından kaynaklanmaktadır. Saldırganlar, zafiyeti kötüye kullanarak sistemde kök yetkisiyle (root) kod çalıştırabilirler. Bu tür bir güvenlik açığı, özellikle kritik veri ve sistemlere erişimi olan sunucularda ciddi sonuçlar doğurabilir ve saldırganların ağa giriş yapmalarını sağlamak için CVE-2020-5849 ile birleştirilebilir.

Bu tür siber saldırıların tespit edilmesi, özellikle adli bilişim ve log analizi (log analysis) açısından büyük önem taşımaktadır. Siber güvenlik uzmanları, Unraid sistemlerinde bu tür zafiyetlerden kaynaklanan saldırıları tespit etmek için çeşitli log dosyalarını ve SIEM (Security Information and Event Management - Güvenlik Bilgisi ve Olay Yönetimi) araçlarını kullanmalıdır.

Saldırının izlerini bulmak için dikkat edilmesi gereken bazı belirgin imzalar şunlardır:

Erişim Logları (Access Logs): Erişim logları, sunucu üzerinde gerçekleştirilen tüm bağlantıların kayıtlarını tutar. Unraid sistemine kimlerin eriştiğini ve bu erişimlerin ne zaman gerçekleştiğini belirlemek için bu loglar çok değerlidir. Loglarda, zaman damgalarıyla birlikte sağlanan IP adresleri ve erişilen URL'ler incelenmelidir. Özellikle, extract fonksiyonu ile ilişkilendirilebilecek şüpheli URL yapıları aramak önemlidir. Örneğin:

   192.168.1.10 - - [Date:Time] "GET /admin/extract.php?file=maliciousfile HTTP/1.1" 200 1024

Yukarıdaki örnekte, GET isteği ile kötü niyetli bir dosya erişimi yapılması, dikkat edilmesi gereken bir durumdur.

Hata Logları (Error Logs): Hata logları, sistemde meydana gelen hatalı işlemlerin kaydedildiği alanlardır. Unraid gibi sistemlerde, bir saldırganın kötüye kullanmaya çalıştığı ancak başarısız olduğu durumlar hata loglarına yansır. extract fonksiyonuna gönderilen aşırı büyük veya beklenmeyen veri türleri, loglarda hata mesajlarına yol açabilir. Bu tür bir örnek şu şekilde olabilir:

   PHP Warning: extract(): Cannot create variable in /path/to/script.php on line 30

Bu tip uyarılar, sistemde bir anomali olabileceğinin işareti olabilir.

SIEM Araçları Kullanımı: SIEM çözümleri, farklı log kaynaklarından gelen verileri toplayarak analiz etme kabiliyeti sunar. Bu araçlar, analiz sırasında otomatik imza kontrolü gerçekleştirerek potansiyel güvenlik olaylarını belirlemeye yardımcı olur. Örneğin, belirli bir URL'ye yapılan aşırı erişim talebi veya belirli bir IP adresinden gelen şüpheli istekler, anında alarm üreterek müdahale edilmesini sağlar.
Şüpheli Dosya Aktarımları: Unraid sunucusuna yüklenen veya alınan dosyalar üzerinde yapılan analiz, kritik öneme sahiptir. Özellikle, PHP uzantılı dosya yüklemeleri ve bunların hangi kaynaklardan geldiği sorgulanmalıdır. Şüpheli dosyalar özellikle extract fonksiyonunu tetikleyebilecek içerikle dolu olabilir.

Sistem yöneticileri ve güvenlik takımları, bu tür zafiyetleri tespit etmek için sürekli log incelemeleri yapmalı, şüpheli aktiviteleri hızlı bir şekilde yanıtlamak için otomatik izleme sistemleri kurmalıdır. Unraid gibi popüler platformlarda ortaya çıkan zafiyetler, siber saldırganlar açısından büyük bir hedef olabileceğinden, sistemlerinizi güncel tutmak ve sürekli olarak güvenlik açığı taramaları gerçekleştirmek son derece önemlidir.

Savunma ve Sıkılaştırma (Hardening)

Unraid (Unraid) sistemi, kullanıcıların veri depolama ve yönetimi için oldukça popüler bir platformdur. Ancak, CVE-2020-5847 güvenlik açığı, bu platformda ciddi bir risk oluşturuyor. Bu zafiyet, sadece sistemin güvenliğini tehdit etmekle kalmıyor, aynı zamanda potansiyel olarak kötü niyetli kişilerin (kötü niyetli hackerlar) sistem üzerinde uzaktan kod çalıştırmasına (remote code execution, RCE) olanak tanıyor.

CVE-2020-5847, Unraid’in PHP dilinde yer alan extract fonksiyonunun güvensiz bir biçimde kullanılması nedeniyle ortaya çıkıyor. Bu durum, saldırganların uzaktan bir komut ya da kod parçası yollayarak sistem üzerinde root yetkisiyle işlem yapabilmelerine yol açıyor. Özellikle, bu açık CVE-2020-5849 ile zincirleme (chainable) bir şekilde kullanılabiliyor; bu da ilk erişimin sağlanmasını kolaylaştırıyor.

Bu tür güvenlik açıklarından korunmanın ilk adımı, sisteminizi düzenli olarak güncellemektir. Güvenlik yamalarını zamanında uygulamak, potansiyel saldırılara karşı ilk savunma hattıdır. Bunun yanı sıra, Unraid için aşağıda belirtilen bazı sıkılaştırma (hardening) önerileri de dikkate alınmalıdır:

PHP Yapılandırmasını Gözden Geçirme: PHP ayarlarını gözden geçirerek, gereksiz modülleri devre dışı bırakın. Özellikle allow_url_fopen ve allow_url_include gibi ayarları kapatmak, uzaktan dosya yüklemelerini önleyebilir.
Erişim Kontrolleri: Unraid yönetici arayüzüne erişimi sınırlamak için güçlü bir parola politikası uygulayın. Kullanıcı hesaplarını düzenli olarak gözden geçirin ve kullanılmayan hesapları kapatın.
Güvenlik Duvarı (Firewall) Kuralları: Alternatif bir Web Uygulama Güvenlik Duvarı (WAF) kullanmak, uzaktan erişim üzerinde ekstra bir koruma katmanı sağlayabilir. Özellikle istenmeyen IP adreslerini engellemek ve belirli portları güvenli hale getirmek önemlidir:

   iptables -A INPUT -p tcp --dport 80 -s 192.168.1.0/24 -j ACCEPT
   iptables -A INPUT -p tcp --dport 80 -j DROP

Log Yönetimi: Tüm sistem etkinliklerini izlemek için log yönetimi uygulamaları kullanın. Olası güvenlik ihlallerini hızlıca tespit etmek, zamanında müdahale etmenin anahtarıdır.
Güvenilir Kaynaklardan Yazılım Güncellemeleri: Unraid uygulamalarını yalnızca resmi kaynaklardan yükleyin ve güncelleyin. Üçüncü taraf yazılımlar, sistemde yeni zafiyetler açığa çıkarabilir.
Container İzolasyonu: Eğer Unraid üzerinde konteyner (container) kullanıyorsanız, her bir konteynerin ayrı bir ağda çalışmasına özen gösterin. Bu, bir konteynerin güvenlik açığının diğerlerini etkilemesini engelleyecektir.

Sonuç olarak, CVE-2020-5847 gibi güvenlik açıklarından korunmak için atılacak adımların başında düzenli güncellemeler ve yapılandırmaların gözden geçirilmesi geliyor. Ayrıca, dolaylı yollarla güvenlik sağlamanın yollarını araştırmak da (örneğin, firewall ve uygulama güvenlik duvarları) kritik derecede önemlidir. Unraid gibi popüler platformlarda, güvenlik açıklarından etkilenmemek için proaktif bir yaklaşım benimsemek, sistem yöneticilerinin başlıca sorumlulukları arasındadır.