CVE-2021-20022: SonicWall Email Security Unrestricted Upload of File Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

SonicWall Email Security ürününde bulunan CVE-2021-20022 zafiyeti, kötü niyetli kullanıcıların sisteme zararlı dosyalar yüklemesine olanak tanıyan bir güvenlik açığı olarak dikkat çekmektedir. Bu zafiyet, bir kimlik doğrulaması gerçekleştirilmiş saldırganın, hedef sisteme herhangi bir türde dosya yüklemesine olanak tanır. Hedef alınan bu dosyaların tehlikeli formatlarda olabilmesi, saldırganların sistemde tehlikeli işlemler gerçekleştirmesine ve hassas verilere erişmesine olanak sağlar.

SonicWall, e-posta güvenliği alanında lider bir üretici olarak bilinir ve ürünleri dünya genelinde birçok farklı sektörde kullanılmaktadır. Ancak bu tür güvenlik zafiyetleri, finans, sağlık ve eğitim gibi kritik sektörlerde ciddi sonuçlara yol açabilir. Örneğin, bir eğitim kurumunun e-posta güvenliği sisteminde bu açığın olması durumunda, öğrencilerin ve çalışanların kişisel verileri tehlikeye girebilir. Benzer şekilde, finans sektöründe bir zafiyetin varlığı, mali verilerin açığa çıkmasına ve kötüye kullanılmasına yol açabilir.

CVE-2021-20022 zafiyetinin önceden var olan diğer zafiyetlerle (CVE-2021-20021 ve CVE-2021-20023) bir araya gelmesi, saldırganların daha yüksek yetkilere ulaşmasını kolaylaştırır. Örneğin, bir post-authenticated (kimlik doğrulaması yapılmış) saldırgan, bu zafiyet sayesinde kötü niyetli bir dosya yükleyerek, sistemi tamamen kontrol altına alabilir. Bu tür bir saldırı senaryosunda, saldırganın kötü niyetli dosya yükleyerek sistemde Remote Code Execution (RCE; Uzaktan Kod Çalıştırma) gerçekleştirmesi mümkündür. RCE zafiyetleri, sistemlerin uzaktan kontrol edilmesine ve zararlı yazılımların çalıştırılmasına olanak tanır, bu da saldırganların hedef sistemi manipüle etmesine olanak verir.

Bu zafiyetin temel nedeni, SonicWall Email Security ürününde bulunan kısıtlama eksikliğidir. Kötü niyetli dosyaların yüklenmesine engel olacak bir dosya türü doğrulama mekanizmasının eksikliği, saldırganlara geniş bir fırsat sunar. Dosya yükleme işlemleri sıklıkla web uygulamalarında kullanılsa da, güvenlik önlemlerinin eksik olması büyük riskler taşır. Örneğin, bir saldırgan aşağıdaki gibi bir komut dosyası yükleyerek güvenlik duvarını aşabilir:

curl -X POST -F "file=@malicious_file.php" https://target-website.com/upload

Bu tür komutlar, bir web uygulaması üzerinden kolaylıkla gerçekleştirilebilir ve yukarıda bahsedilen açığın etkilerini artırabilir.

Son olarak, dünya genelindeki SonicWall kullanıcıları için bu tür güvenlik açıklarının varlığı, sürekli olarak güncellemeler yapmalarını ve güvenlik önlemlerini artırmalarını gerektirmektedir. Güncel bir sistem ve güçlü bir siber güvenlik altyapısı oluşturmak, bu tür riskleri minimize etmenin en etkili yolu olacaktır. Uygulama geliştiricilerin ve sistem yöneticilerinin, yükleme işlemleri için sıkı denetim mekanizmaları ve dosya türü kısıtlamaları uygulamaları kritik öneme sahiptir. Bu tür güvenlik açığı raporları, siber tehditlerle mücadelede proaktif bir yaklaşım sergilemenin ne denli önemli olduğunu da ortaya koymaktadır.

Teknik Sömürü (Exploitation) ve PoC

SonicWall Email Security'deki CVE-2021-20022 zafiyetinin sömürülmesi, iyi planlanmış bir saldırı sürecini gerektirmektedir. Bu zafiyet, yetkili bir kullanıcının belirli dosya türlerini yüklemesine olanak tanıdığından, başarılı bir saldırı için öncelikle gerekli kimlik doğrulamasının yapılması gereklidir. Saldırgan, bu zafiyeti kullanarak sisteme zararlı dosyalar yükleyebilir ve ardından bu dosyalar üzerinden sistemin kontrolünü ele geçirebilir.

İlk adım, hedef sistemin zafiyetlerden etkilenip etkilenmediğini belirlemektir. Bunun için, SonicWall Email Security'nin hangi sürümünün kullanıldığını öğrenmek önemlidir. Zafiyet, belirli sürümlerde yer alan bir upload mekanizmasından kaynaklandığı için, bu bilginin edinilmesi kritik öneme sahiptir. Bunu yapabilmek için basit bir HTTP isteği ile izin verilen dosya türlerini keşfedebiliriz.

Örneğin, aşağıdaki HTTP isteği ile dosya yükleme formunun bulunduğu sayfayı talep edebiliriz:

GET /upload-form HTTP/1.1
Host: hedef-sunucu.com
Authorization: Bearer <token>

Bu isteğin yanıtında, form yapısı ve izin verilen dosya türleri hakkında bilgi verilmesi beklenir. Eğer sunucu, yüklenebilir dosya türleri hakkında kısıtlama koymuyorsa, bu durum zafiyetin potansiyel olarak var olduğunu gösterir.

İkinci adım, dosya yükleme işlevini denemek olacaktır. Bu aşamada, aşağıda yer alan örnek yükleme isteği ile zararlı bir dosya yükleyebilmek adına bir adım atabiliriz:

POST /upload HTTP/1.1
Host: hedef-sunucu.com
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gW
Authorization: Bearer <token>

------WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="file"; filename="malicious.php"
Content-Type: application/octet-stream

<php kodları burada> // Zararlı PHP kodu
------WebKitFormBoundary7MA4YWxkTrZu0gW--

Burada malicious.php adında bir PHP dosyası gönderilmektedir. Bu dosyanın içeriği, sistemde zararlı komutları çalıştırmak üzere özel olarak tasarlanmış bir kod olmalıdır.

Üçüncü adım, yüklenen dosyanın çalıştırılabilir olup olmadığını test etmektir. Eğer yükleme başarılıysa, saldırgan, aşağıdaki gibi bir istekle bu dosyayı çalıştırmayı deneyebilir:

GET /uploads/malicious.php HTTP/1.1
Host: hedef-sunucu.com

Eğer bu istek başarılı olursa, zararlı kod çalıştırılacak ve saldırganın uzaktan sistem üzerinde kontrol sağlaması mümkün olacaktır. Bu aşamada, dosya, sunucuda çalıştırılabilecek şekilde tasarlandığından, sistemdeki yetkileri artırmak için diğer zafiyetler (CVE-2021-20021 ve CVE-2021-20023 gibi) ile birleştirilerek saldırganın etki alanı genişletmesi sağlanabilir.

Sonuç olarak, SonicWall Email Security'deki CVE-2021-20022 zafiyeti, uygun bir planlama ve bilgi toplama ile kötü niyetli şahısların, sisteme tehlikeli dosyalar yükleyerek çeşitli yetkilere ulaşmalarına olanak tanımaktadır. Bu tür zafiyetlerin önüne geçebilmek için sistem yöneticileri ve güvenlik uzmanlarının uygulamalarını düzenli olarak güncellemeleri ve güvenlik açıklarını minimize etmeye yönelik önlemler almaları son derece önemlidir.

Forensics (Adli Bilişim) ve Log Analizi

SonicWall Email Security üzerindeki CVE-2021-20022 zafiyeti, güvenliğini tehlikeye atan kritik bir durumdur. Bu zafiyet, yetkili bir saldırganın tehlikeli dosya türlerini uzaktan yüklemesine olanak tanır. Özellikle, bu tür bir zafiyeti kullanarak saldırganlar başka zafiyetler ile birleşim halinde (örneğin, CVE-2021-20021 ve CVE-2021-20023) privilige escalation (yetki yükseltme) gerçekleştirebilirler. Bu nedenle, bu zafiyetin mevcut olduğu bir sistem için uygun önlemlerin alınması büyük önem taşır.

Saldırının tespit edilmesi adına, bir siber güvenlik uzmanının çeşitli log dosyalarında (Access log, Error log vb.) dikkat etmesi gereken bazı kritik imzalar bulunmaktadır. İlk olarak Access log'lar, sistemin hangi dosyalara hangi kullanıcılar tarafından erişildiğini gösterir. Eğer Access log'larında, bilinen güvenli dosyalar yerine, sık sık tehlikeli veya bilinmeyen dosya türlerinin yüklendiğine dair kayıtlar görüyorsanız, bu durum bir şüphe işareti oluşturur.

Örneğin, aşağıdaki gibi bir log girişi dikkat çekici olabilir:

192.168.1.100 - user1 [02/Oct/2021:10:00:00 +0000] "POST /upload.php HTTP/1.1" 200 2048 "Mozilla/5.0" "application/x-php"

Burada, "application/x-php" gibi bir MIME türü, genellikle tehlikeli dosyalar için kullanılan bir formattır. Eğer bu tür bir dosyanın upload edildiği loglarda görünüyorsa, sistemin saldırıya uğramış olabileceğini gösterir.

Ayrıca, Error log'larda oluşan hatalar da önemli bir veri kaynağıdır. Özellikle, dosya yükleme ile ilgili hatalar, potansiyel saldırılara işaret eder. Örneğin:

[ERROR] 2021-10-02 10:01:00 Failed to move uploaded file: suspicious_file.php to /var/www/uploads/

Bu tür hatalar, işlemin başarısız olduğunu gösterirken, aynı zamanda da tehditleri tespit etmek için bir fırsat sunar.

Bir başka yöntem ise SIEM sistemlerinden alınan alarmlardır. SIEM (Security Information and Event Management), güvenlik olaylarını gerçek zamanlı olarak izleyebilir ve önemli aktiviteleri belirleyebilir. Eğer SIEM sisteminizde ilgili bir işleme dair olağan dışı bir etkinlik tespit ederseniz, bu durum derhal incelenmelidir.

Bu tür zafiyetleri tespit etmek için başka bir yöntem de sistemde beklenmedik bir dosyanın varlığını sorgulamaktır. Zafiyeti kullanarak yüklenmiş bir dosyanın varlığı, birçok sistemde olağan dışıdır. Bu nedenle, yedekleme öncesi ve sonrası dosya bütünlüğü kontrolü yapmak önem taşır.

SonicWall Email Security gibi sistemlerde, genel olarak dosya yükleme mekanizmalarının katı bir şekilde kontrol edilmesi, güvenliğin artırılmasında kritik bir rol oynar. Örneğin, sadece belirli dosya türlerinin yüklenmesine izin vermek ve bu dosya türlerini sıkı bir şekilde denetlemek, önemli bir güvenlik önlemidir.

Sonuç olarak, CVE-2021-20022 gibi zafiyetlerin tespiti için sistem loglarının dikkatli bir şekilde analiz edilmesi gereklidir. Uzmanların, yukarıda belirtilen log dosyaları ve potansiyel imzalar üzerinde yoğunlaşması, sistemin güvenliğini artırmak açısından oldukça faydalı olacaktır. Bu bağlamda, etkili bir log analizi ve SIEM entegrasyonu ile, saldırıların önüne geçmek ve olası tehlikeleri minimize etmek mümkündür.

Savunma ve Sıkılaştırma (Hardening)

SonicWall Email Security/CVE-2021-20022 zafiyeti, saldırganların kimlik doğrulaması sonrasında sistemdeki dosyaları yüklemesine olanak tanıyan kritik bir güvenlik açığıdır. Bu tür bir aşağı, özellikle "unrestricted upload of file with dangerous type" (tehlikeli türde dosyaların sınırsız yüklenmesi) niteliğindedir ve saldırganların uzaktan dosya yüklemesine ve bu dosyaları kötüye kullanmasına olanak tanır. Bu durum, saldırganların diğer zafiyetleri (CVE-2021-20021 ve CVE-2021-20023 gibi) kullanarak hak yükseltmesi (privilege escalation) gerçekleştirmesine yol açabilir.

SonicWall Email Security ürününün zafiyetlerinden korunmak için öncelikle sistemlerin güncellenmesi gerekmektedir. Bu tür zafiyetlerin kapatılması genellikle üreticinin sağladığı yamalarla (patch) gerçekleştirilir. Ancak yazılım güncellemeleri dışında, sistemin genel güvenlik durumunu iyileştirmek için bazı kalıcı sıkılaştırma (hardening) önerileri de dikkate alınmalıdır.

Öncelikle, yüklenebilir dosya türlerini sınırlandırarak başlayabilirsiniz. Örneğin, sadece belirli dosya türlerinin yüklenmesine izin vermek, saldırganların kötü niyetli dosyalar yüklemesini engelleyebilir. Aşağıdaki gibi bir kural ekleyerek belirli türleri hariç tutmak mümkündür:

if ($_FILES['upload']['type'] !== 'image/jpeg' &amp;&amp; $_FILES['upload']['type'] !== 'image/png') {
    die('Sadece JPEG ve PNG formatındaki dosyalar yüklenebilir.');
}

Ancak, tüm bu tedbirler alınsa bile, bir web uygulama güvenlik duvarı (WAF) kurarak ek bir güvenlik katmanı oluşturmak da önerilir. Örneğin, OWASP ModSecurity, dosya yüklemelerini sınırlamak için kullanılabilir. ModSecurity ile aşağıdaki gibi bir kural seti oluşturulabilir:

SecRule REQUEST_HEADERS:Content-Type "multipart/form-data" "phase:2,id:1001,t:none,t:urlDecodeUni,pass,nolog,ctl:requestBodyAccess=On"
SecRule ARGS:upload "@rx \.(php|exe|sh)$" "id:1002,deny,status:403"

Bu kural seti, php, exe ve sh uzantılı dosyaların yüklenmesini engelleyerek sistemin korunmasına yardımcı olacaktır.

Yüklenen dosyaların güvenliğini sağlamak için, ayrıca dosyaların sistemde işlenmeden önce virüs tarama yazılımlarıyla kontrol edilmesi de kritik bir önlem olarak görülmektedir. Anti-virüs ve zararlı yazılım tarayıcıları, yüklenen içeriklerin zararlı olup olmadığını tespit edebilir.

Ayrıca, yüklenen dosyaların izlenmesi ve düzenli olarak güvenlik denetimlerinin yapılması büyük önem taşımaktadır. Bu sayede, herhangi bir kötüye kullanım durumunda hızlıca müdahale edilebilir. Log kaydı alarak, yükleme işlemleri ve bu işlemlerle ilişkilendirilebilecek aktiviteleri takip etmek, tespit ve yanıt süreçlerini hızlandırır.

Sonuç olarak, SonicWall Email Security zafiyetini kapatmak için sistem güncellemeleri, dosya türü kısıtlamaları, WAF bellek korunması, virüs tarama önlemleri ve düzenli güvenlik denetimleri kombinasyonu önerilmektedir. Bu tür önlemler, zafiyetin istismar edilmesini engelleyerek, sunucularınızın daha güvenli olmasına yardımcı olacaktır.