CVE-2020-8657: EyesOfNetwork Use of Hard-Coded Credentials Vulnerability

Zorluk Seviyesi: Başlangıç | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

EyesOfNetwork, ağ izleme ve yönetimi alanında sıklıkla kullanılan bir açık kaynaklı yazılımdır. Ancak, 2020 yılında keşfedilen CVE-2020-8657 zafiyeti, yazılımın güvenlik sağlamada ciddi bir eksiklik barındırdığını gözler önüne serdi. Hard-coded credentials (sabit kodlu kimlik bilgileri) kullanılması, bu zafiyetin temelinde yatmaktadır. Yazılımın varsayılan yapılandırmasıyla birlikte sunulan sabit API anahtarı, kötü niyetli saldırganlar tarafından kolaylıkla ele geçirilebilir hale gelmektedir. Bu durum, bir saldırganın yönetici erişim belirtecini hesaplamasını veya tahmin etmesini sağlayabilir, dolayısıyla önemli bir güvenlik açığını ortaya çıkarır.

Özellikle aynı API anahtarının kullanılması, birçok farklı sistem ve kullanıcıya karşı uygulanabilir bir tehdit oluşturur. Örneğin, bir ağ yöneticisi, güvenliğini artırmak amacıyla farklı sistemler arasında veri paylaşırken, varsayılan API anahtarını kullanması durumunda riskli bir duruma düşebilir. Kötü niyetli bir kişi, bu anahtarı kullanarak sistemin içine sızabilir ve yetkisiz veri erişimi sağlayabilir. Bu tür senaryolar, özellikle finans, sağlık ve kamu hizmetleri gibi önemli sektörlerde ciddi sonuçlar doğurabilir. Saldırganlar, kişisel verileri çalabilir, sistemleri manipüle edebilir veya hizmet dışı bırakma saldırıları (DoS) gerçekleştirebilir.

CVE-2020-8657 zafiyeti, yazılımın hangi kütüphanesinde bir hata olduğunu gösteren karmaşık bir durumdur. Geliştiriciler, genellikle kolaylık sağlamak amacıyla sabit kimlik bilgileri kullanma gibi pratiklere yönelirler. Ancak bu tür bir uygulama, güvenlik açığına davetiye çıkarmaktadır. Geliştiriciler, yazılımın belirli bölümlerinde bu tür sert kodlamaların yerine dinamik kimlik doğrulama yöntemleri uygulamayı tercih etmelidir. İleri düzey siber tehditleri öngörmek ve güvenlik açıklarını en aza indirmek için sürekli yapılan güncellemeler ve güvenlik yamaları, yazılımın korunmasına katkıda bulunacaktır.

Zafiyetin dünya genelindeki etkisi ise iç açıcı değildir. Sağlık sektöründe, hasta bilgilerinin güvenliğini sağlamak için kullanılan sistemler üzerinde baskı kurarak, kişisel verilerin elden geçirilmesine yol açabilirken; banka ve finans sektöründe kullanıcı hesaplarına erişim sağlamak, büyük mali kayıplar doğurabilir. Özellikle, kamu hizmetleri gibi kritik altyapılara erişim sağlamak, ulusal güvenlik açısından da ciddi tehditler oluşturabilir.

Sonuç olarak, CVE-2020-8657 zafiyeti, EyesOfNetwork yazılımında güncel güvenlik standartlarına uyulması gerektiğini net bir şekilde göstermektedir. Güvenlik açıklarının önlenmesi, yalnızca yazılım geliştiricilerinin değil; aynı zamanda tüm ağ yöneticilerinin ve siber güvenlik uzmanlarının sorumluluğundadır. Sürekli eğitimin yanı sıra, sektördeki en iyi uygulamaların takibi, bu tür zafiyetlerin minimize edilmesi açısından hayati öneme sahiptir.

Teknik Sömürü (Exploitation) ve PoC

EyesOfNetwork ürünü, varsayılan olarak sabit bir API anahtarı (hard-coded credentials) kullanması sebebiyle ciddi bir güvenlik açığı barındırmaktadır. CVE-2020-8657 olarak bilinen bu zafiyet, kötü niyetli bir saldırganın sistemde yönetici erişim token’ını (admin access token) hesaplamasına veya tahmin etmesine olanak tanır. Bu durum, sistem üzerinde tam kontrol sağlama potansiyeli taşıyabilir ve verilerin kötüye kullanılmasına yol açabilir. Söz konusu zafiyetin istismar edilmesi, bir "Remote Code Execution" (Uzaktan Kod Çalıştırma) senaryosuna dönüşebilir ve saldırganın hedef sistem üzerinde tam yetkiyle hareket etmesine olanak sağlar.

Güvenlik açığının teknik olarak nasıl sömürüleceğine dair adım adım inceleyelim:

İlk adım, hedef sistemin iletişim kurduğu API anahtarını belirlemektir. Birçok durumda, bu anahtar ya uygulama içerisinde hardcoded bir şekilde yer almaktadır ya da uygulamanın ilgili dokümantasyonunda açık bir şekilde belirtilmiştir. Kod inceleme araçları kullanılarak, gözden kaçmış bu bilgiler tespit edilebilir.

# Örnek Python kodunun gözden geçirilmesi
import requests

url = "http://hedef_sistem/api/resource"
response = requests.get(url)
print(response.content)

İkinci adım, API anahtarının yanlışlıkla tespit edilmesi durumunda, bu anahtarla birlikte yapılabilecek istekleri incelemektir. Bunu yaparken, hedef sistemin farklı API endpoint’lerine yönelik HTTP istekleri göndermeliyiz. Bu aşamada, anahtarın etkili bir şekilde kullanılıp kullanılmadığını kontrol etmek için HTTP istekleriyle birlikte kimlik doğrulama token’ı (authentication token) ya da diğer kimlik bilgileri de eklenebilir.

GET /api/resource HTTP/1.1
Host: hedef_sistem
Authorization: Bearer &lt;api_key&gt;

Üçüncü adımda, sistemin yanıtlarını gözlemlemek gerekmektedir. Eğer yanıtlar, sistemin davranışını değiştirecek şekilde pozitif bir doğrulama (positive validation) içeriyorsa, bu kritik bir başarının göstergesidir. Yanıtları yakalamak için, araç olarak Burp Suite veya Postman gibi HTTP analiz araçlarını kullanabilirsiniz. Bu araçlar, hedef sistemle etkileşimde bulunarak gerektiğinde yanıtların değiştirilmesine olanak tanır.

Dördüncü adım olarak, eğer sistem yönetici token’ını hesaplamak için gerekli bilgilere ulaşılmışsa, token üzerinde yetkisiz bir işlem gerçekleştirilebilir. Aşağıda basit bir örnek üzerinden ilerleyelim:

import requests

api_key = "&lt;hardcoded_api_key&gt;"
target_url = "http://hedef_sistem/api/admin"
headers = {
    "Authorization": f"Bearer {api_key}"
}

response = requests.get(target_url, headers=headers)

if response.status_code == 200:
    print("Erişim başarılı:", response.json())
else:
    print("Erişim başarısız:", response.status_code)

Sonuç olarak, EyesOfNetwork üzerindeki bu zafiyet, sistemin kötü niyetli bir kişi tarafından istismar edilmesine olanak tanıyacaktır. CIF-2020-8657 açığını iyi bir şekilde anlayarak ve sömürme yöntemlerini doğru bir şekilde uygulayarak, sistem yöneticileri bu tür zafiyetlerin üstesinden gelebilir ve sistem güvenliğini artırabilir. Ayrıca, yazılım geliştirme sürecinde kodun güvenliğinin sağlanması adına sabit (hard-coded) kimlik bilgileri kullanılmaması gerektiği bir başka ders olarak çıkarılabilir. Kendi test laboratuvarınızda bu tür güvenlik açıklarını keşfetmek, sizlerin güvenlik testleri sürecinizde büyük önem taşıyacaktır.

Forensics (Adli Bilişim) ve Log Analizi

EyesOfNetwork yazılımında ortaya çıkan CVE-2020-8657 zafiyeti, potansiyel bir saldırganın sistem üzerinde admin erişim token'ını hesaplaması veya tahmin etmesi için varsayılan olarak kullanılan sabit API anahtarından faydalanmasına olanak tanır. Bu durum, çeşitli siber güvenlik senaryolarında ayrı bir tehdit oluşturur ve bir "White Hat Hacker" olarak, bu tür zafiyetlerin farkına varmak ve önlemek kritik bir görevdir.

Hedefimiz, bu iddialı zafiyetin analizini yaparak, siber güvenlik uzmanlarının SIEM (Security Information and Event Management) sistemleri ve çeşitli log dosyaları aracılığıyla saldırının yapıldığını nasıl tespit edebileceğini anlamalarına yardım etmektir. İlk olarak, EyesOfNetwork yazılımının log dosyalarına ve SIEM sistemine başvurmalıyız.

Bir siber güvenlik uzmanı, göz önüne alınması gereken birkaç log türü ve önemli imza üzerinde durmalıdır:

Access Log (Erişim Günlüğü): Bu log dosyası, sistemdeki tüm erişim denemelerini kaydeder. Saldırganların sabit API anahtarı kullanarak sisteme erişim sağlaması durumunda, bu logda olağandışı IP adresleri, sürekli başarısız giriş denemeleri veya belirli zaman dilimlerinde tekrarlayan aynı IP adreslerinden gelen istekler gibi anormal davranışlar gözlemlenebilir. Örneğin, aşağıdaki gibi bir kayıt, dikkat edilmesi gereken bir durum olabilir:

   192.168.1.100 - - [12/Oct/2023:12:00:00 +0000] "GET /api/admin HTTP/1.1" 403 120 "User-Agent: Mozilla/5.0"

Yukarıdaki örnekte, belirli bir IP adresinin defalarca yanlış erişim denemesi yapması dikkat çekici bir durumdur.

Error Log (Hata Günlüğü): Hatalar, sistemin zafiyetlerini açığa çıkarabilir. Hata loglarında, API anahtarının ya da verilere erişim hakkının kullanılamadığını bildiren kayıtlar dikkatle incelenmelidir. Özellikle, "401 Unauthorized" veya "403 Forbidden" gibi hata kodları, sistemde yetkilendirme sorunlarını işaret edebilir.
Audit Log (Denetim Günlüğü): Bu tür loglar, kullanıcı eylemlerinin kaydını tutar. Eğer bir saldırgan, sabit API anahtarını kullanarak admin yetkileri elde etmişse, bu logda olağandışı yetki kullanımları veya beklenmedik değişiklikler görülebilir.

Bir örnek senaryo üzerinden düşünelim: Bir şirket, EyesOfNetwork yazılımını kullanıyor ve bu yazılımın güncel versiyonunu yüklememiş. Bir çalışan farkında olmadan sabit API anahtarını kullanarak bir API isteği gerçekleştiriyor. Eğer bu durum loglarda sıkça tekrarlanan hataların veya erişim sorunlarının görünmesine yol açıyorsa, bu durum, potansiyel bir zafiyeti işaret ediyor olabilir. Bu nedenle, log dosyalarında yer alan olayların süreklilik arz etmesi veya belirli bir kullanıcı üzerinde yoğunlaşması, saldırının belirtilerinden biri olarak değerlendirilmelidir.

Bununla birlikte, siber güvenlik uzmanlarının dikkat etmesi gereken bir diğer önemli nokta, log analizi sırasında gerçekleştirilen işlemlerin zaman damgalarıdır. Eğer bir IP adresinden gelen erişim talepleri belirli bir zaman diliminde yoğunlaşıyorsa, bu anormal bir davranıştır ve daha derinlemesine analiz edilmesi gerekir.

Sonuç olarak, CVE-2020-8657 zafiyetinin tespiti için erişim logları, hata logları ve denetim logları gibi önemli log türlerine odaklanmak, potansiyel bir saldırıyı erken safhada tespit etmeye ve etkilerini azaltmaya yardımcı olabilir. Unutulmamalıdır ki, log analizi yalnızca bir bölümdür; aynı zamanda sürekli bir tehdit analizi ve siber güvenlik önlemleri ile desteklenmelidir.

Savunma ve Sıkılaştırma (Hardening)

CyberSecurity alanında önemli bir konu olan hard-coded (sabitleştirilmiş) kimlik bilgileri kullanımı, özellikle sistemlere izinsiz erişim sağlamak için büyük bir zafiyet oluşturur. Geliştirilen yazılımların içinde sabit kod olarak yer alan API anahtarları, kötü niyetli kişilerin bu bilgileri kolayca ele geçirmesine olanak tanır. Örneğin, CVE-2020-8657 zafiyeti, EyesOfNetwork platformunun varsayılan olarak aynı API anahtarını kullanması nedeniyle oluşmaktadır. Bu durum, saldırganların yönetici erişim token’ını hesaplamalarına veya tahmin etmelerine olanak sağlar.

Geliştiricilerin dikkat etmesi gereken ilk nokta, kimlik bilgilerini yönetim ve kullanıcı hesaplarıyla doğrudan ilişkilendirmemeleridir. Yazılımlarınızda hard-coded kimlik bilgilerini kullanmanın yerine, dinamik olarak oluşturulan ve belirli bir süre sonunda geçerliliğini yitiren token’lar kullanılmalıdır. Bu yöntem, özellikle RCE (Uzak Kod Yürütme) gibi potansiyel saldırılara karşı önemli bir koruma sağlar.

Bunun yanı sıra, EyesOfNetwork veya benzeri platformlarda çalışırken aşağıdaki önerileri dikkate almak önemlidir:

Kimlik Doğrulama Mekanizmalarının Geliştirilmesi: Programınızdaki API anahtarlarını ve benzeri kimlik bilgilerini sürekli olarak güncelleyerek doğru bir kimlik doğrulama mekanizması geliştirin. Örneğin, OAuth veya JWT (JSON Web Token) gibi modern kimlik doğrulama protokollerini entegre edebilirsiniz.

import jwt

def generate_jwt(payload):
    token = jwt.encode(payload, 'secret', algorithm='HS256')
    return token

Alternatif Güvenlik Duvarı (WAF) Kuralları: Web Uygulama Güvenlik Duvarları (WAF), şüpheli davranışları engellemek için kullanılabilir. Belirli bir API anahtarının kötüye kullanıldığını gösteren bir kural geliştirebilirsiniz. Örneğin, bir IP adresinden gelen aşırı API çağrıları tespit edilirse, bu IP'yi kara listeye alarak mevcut saldırıları engelleyebilirsiniz.

{
    "rules": [
        {
            "id": "block_excessive_requests",
            "match": {
                "condition": {
                    "field": "request_count",
                    "threshold": 100,
                    "time_window": "60s"
                }
            },
            "action": "block"
        }
    ]
}

Kalıcı Sıkılaştırma (Hardening) Önerileri:

Yazılımlarınızı güncel tutun ve mevcut güvenlik açıklarını kapatmak için yamanızı düzenli olarak kontrol edin.
Gereksiz servisleri devre dışı bırakın. Örneğin, sunucular üzerinde kullanılmayan uygulama ve servislerin kapatılması, saldırı yüzeyini daraltır.
Güçlü şifreleme yöntemleri ile verilerinizi koruyun. Verilerinizi sabit diskinizde depolarken şifreleme yöntemlerinin kullanılması, verilerin güvenliğini büyük ölçüde artıracaktır.

Unutulmaması gereken en önemli nokta, güvenlik açıklarının sürekli gelişen bir alan olduğudur. Kötü niyetli kullanıcılar, yeni yöntemler geliştirerek zafiyetleri keşfedebilirler. Bu nedenle, sistemlerimizi sürekli gözlemleyip güncellemeli ve genel güvenlik pratiklerini uygulamalıyız. CyberFlow platformu gibi sistemlerde sıkılaştırma çalışmaları ve güvenlik uygulamaları ile potansiyel tehlikeleri minimize edebiliriz.