CVE-2021-22017: VMware vCenter Server Improper Access Control

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-22017, VMware vCenter Server'de tespit edilen ve "improper access control" (uygunsuz erişim kontrolü) sorunlarından kaynaklanan kritik bir güvenlik zafiyetidir. Özellikle, Rhttproxy bileşeni üzerinde gerçekleştirilen URI normalizasyonunun hatalı bir şekilde uygulanması, bu zafiyeti doğurmuştur. Bu durum, saldırganların uygun erişim izinlerine sahip olmadan hassas verilere erişebilmesine olanak tanımaktadır.

Zafiyetin kökeni, Rhttproxy'nin istemciden gelen istekleri işlerken URI'leri normalleştirmesinde yatmaktadır. İyi bir URI normalizasyonu, istemciden gelen taleplerin doğruluğunu ve geçerliliğini kontrol ederek gerektiğinde gerekli dönüşümleri yapmalıdır. Ancak burada, bu süreçteki hatalı uygulama, bir saldırganın URL'de çeşitli manipülasyonlar yaparak vCenter Server üzerinde yetki aşımı yapmasına olanak sağlamıştır. Zafiyet, 2021 yılının Şubat ayında VMware tarafından duyurulmuş ve kullanıcıların bu konuyla ilgili güncellemeleri uygulamaları önemli bir güvenlik önlemi olarak belirtilmiştir.

CVE-2021-22017 zafiyeti, özellikle finans sektörü, sağlık hizmetleri, kamu sektörü ve eğitim gibi birçok farklı sektörü etkilemiştir. vCenter Server, sanal sunucuların merkezi yönetimini sağladığı için bu platformu kullanan her türden kuruluş, potansiyel bir hedef konumundadır. Saldırganlar, bu zafiyeti kullanarak sistemlerde uzaktan komut çalıştırma (RCE - uzaktan komut çalıştırma) kabiliyeti elde edebilir; bu da, kurumsal veri sızıntılarına ve büyük çaplı zararlara yol açabilir.

Güvenlik uzmanları ve beyaz şapkalı hackerlar, bu tür zafiyetlerin tespit edilmesi ve düzeltilmesi konusunda proaktif bir yaklaşım sergilemektedir. Örneğin, bir güvenlik uzmanı, bir şirketin vCenter Server kurulumunu değerlendirirken, bellek taşmaları (Buffer Overflow) ve yetki atlamaları (Auth Bypass) gibi olası saldırı vektörlerini analiz edebilir. Zafiyetin potansiyel etkilerini daha iyi anlamak ve önlemek amacıyla, güvenlik testleri yaparak zafiyetin kullanım senaryolarını analiz etmek oldukça kritik bir adımdır.

Bu tür zafiyetler, sadece teknik bilgiyi değil; aynı zamanda organizasyonların güvenlik politikalarının ve kullanıcı eğitimlerinin de gözden geçirilmesini gerektirir. Beyaz şapkalı hackerlar, bu tür zafiyetleri ortaya çıkarmak için penetrasyon testleri gerçekleştirerek, kurumsal ağların güvenliğini artırmaya yardımcı olur. Özetle, CVE-2021-22017 gibi zafiyetler, sanal ortamların güvenliğini büyük ölçüde etkileyebilir ve bu nedenle tüm sektörlerdeki kuruluşların bu tür zafiyetleri göz önünde bulundurarak güncel kalmaları şarttır.

Sonuç olarak, zafiyetin tarihçesi, zafiyetin hangi bileşende ortaya çıktığı ve etkilediği sektörler hakkında bilgi sahibi olmak, güvenlik uzmanlarının ve beyaz şapkalı hackerların bu tür problemleri önceden tahmin etmeleri ve gerekli güvenlik önlemlerini almaları açısından hayati öneme sahiptir.

Teknik Sömürü (Exploitation) ve PoC

VMware vCenter Server'daki CVE-2021-22017 zafiyeti, URI normalizasyonu (normalization) ile ilgili bir yanlış uygulama nedeniyle meydana gelmektedir. Bu durum, saldırganların yetkisiz erişim (auth bypass) elde etmesine ve bir dizi kötü niyetli eylem gerçekleştirmesine olanak tanır. Rhttproxy, VMware vCenter Server’ın arka planında çalışan bir bileşen olup, bu zafiyet üzerinden exploit (sömürü) gerçekleştirilebilir.

Bu zafiyeti sömürmek için aşağıdaki adımlar izlenebilir:

1. Versiyon Tespiti: İlk önce, hedef vCenter Server sürümünü tespit etmeliyiz. Bunun için, vCenter Server web arayüzüne bir HTTP GET isteği gönderiyoruz. Aşağıdaki komut kullanılabilir:

   curl -I http://<hedef_ip>/ 
   

   Bu isteğin yanıtında X-VMware-Vcloud-Api-Version gibi başlıklar bulunabilir. Eğer vCenter Server 7.0.x sürümü gibi zafiyetten etkilenen bir sürümse, sonraki aşamalara geçebiliriz.

2. URI Manipülasyonu: Zafiyeti suistimal etmek için düzgün URL’ler oluşturmak kritiktir. Rhttproxy’nin URI normalization hatasından yararlanarak, yanlış yapılandırılmış URL'lerde yetkisiz kaynaklara erişim sağlanabilir. Aşağıdaki örnekte, URI’ye belirli bir parametre ekleyerek yetkisiz bir kaynak talep edebiliriz:

   curl -X GET "http://<hedef_ip>/rest/com/vmware/cis/session?isAdmin=true" -H "vmware-api-session-id: fake_session_id"
   

   Burada isAdmin parametresi, yetkisiz erişim sağlamak için sahte bir oturum kimliği (session id) kullanılarak eklenmiştir.

3. Yetkili Erişim Sağlama: Eğer URI başarıyla manipüle edildiyse, yetkisiz bir oturum açma (auth bypass) işlemi gerçekleştirilmiş olur. Bu aşamada, çeşitli API çağrıları yaparak sistemdeki verilere veya fonksiyonlara erişim sağlanabilir.

4. Payload Enjeksiyonu: Zafiyeti daha da derinlemesine keşfetmek amacıyla, belirli payload'lar enjekte ederek sistem üzerinde daha kötü niyetli işlemler yapılabilir. Örneğin, bir payload aracılığıyla Remote Code Execution (RCE) sağlamak için aşağıdaki gibi bir istek oluşturulabilir:

   curl -X POST "http://<hedef_ip>/rest/com/vmware/cis/tasks" -H "vmware-api-session-id: fake_session_id" -d '{"method":"execute","params":{"cmd":"<malicious_command>"}}'
   

   Burada <malicious_command>, zararlı bir komut veya kod parçasını temsil eder.

5. Zafiyetin Sonuçlandırılması: Başarılı bir exploit sonrası, elde edilen erişim ile sistem üzerinde zararlı işlemler gerçekleştirmek mümkündür. Sistemin kontrolünü ele geçirmek, veri çalmak veya hizmeti engellemek gibi eylemler bu aşamada yapılabilir.

Sonuç olarak, CVE-2021-22017 zafiyeti, VMware vCenter Server kullanıcıları için ciddi bir tehlike arz etmektedir. Doğru URI manipülasyonları ve yetkisiz erişim sağlama adımları izlenerek, saldırganlar sistem üzerinde kontrol kurabilirler. Bu nedenle, sistem yöneticilerinin bu tür zafiyetlere karşı güncellemeleri takip etmeleri ve güvenlik önlemlerini güçlendirmeleri oldukça önemlidir. Zafiyetin etkisini azaltmak ve sistemlerin güvenliğini sağlamak amacıyla, düzenli güvenlik taramaları ve testleri yapılması tavsiye edilir.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2021-22017, VMware vCenter Server'da bulunan önemli bir zafiyet niteliğindedir. Bu zafiyet, Rhttproxy'nin URI normalizasyonunun hatalı bir biçimde uygulanması nedeniyle ortaya çıkmakta ve potansiyel olarak saldırganların yetkilendirilmiş erişim kontrol önlemlerini atlatarak hassas verilere erişmesine neden olmaktadır. Siber güvenlik uzmanları için bu tür zafiyetlerin tespit edilmesi ve analiz edilmesi kritik öneme sahiptir. Adli bilişim ve log analizi bu süreçte önemli araçlar sunmaktadır.

Bir siber güvenlik uzmanı için, bu tür bir saldırının log dosyalarında veya SIEM sistemlerinde tespit edilmesi için dikkat edilmesi gereken bazı belirgin imzalar bulunmaktadır. Öncelikle, Rhttproxy üzerinde gerçekleştirilen isteklerin özellikle URI’lerinde anormal bir davranış gözlemlenmelidir. Normalde belirli bir yapıya sahip olan URI'lerde beklenmedik eklemeler veya değişiklikler, saldırganların başarıyla yetki aşımına (Auth Bypass) uğramış olabileceğini gösterebilir.

Log dosyalarında dikkat edilmesi gereken diğer bir kritik nokta ise haneler (parameter) ve paylaşılan kaynaklara yönelik olan isteklerin sıklığıdır. Eğer belirli bir IP adresinden veya kullanıcıdan gelen isteklerde anormallikler, anormal bir şekilde yüksek bir frekansta görülen aynı kaynak istekleri belirlenirse, bu muhtemel bir saldırıyı gösteriyor olabilir.

Örnek olarak, aşağıdaki gibi bir log formatında, saldırganın isteklerinin belirlenmesi kolaylaşabilir:

192.168.1.10 - - [03/Mar/2023:12:30:15 +0000] "GET /<beklenmeyen/uri/path> HTTP/1.1" 200 12345

Bu tür log kayıtlarında "beklenmeyen/uri/path" kısmı, saldırganın hedeflediği kaynak olarak dikkat çekici olabilir.

Bir başka önemli analiz noktası ise hata loglarıdır. Hata loglarında görülen sürekli hata mesajları, belirli bir URI’nin yanlış biçimde erişilmeye çalışıldığını veya bir RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) denemesi olduğuna dair işaretler taşıyabilir. Özellikle hata kodları "403 Forbidden" veya "404 Not Found" gibi sonuçlar verirken, bu kodların ardındaki isteklerin detayları incelenmelidir.

Kullanıcı oturumlarının ve erişim izinlerinin sürekliliği açısından da kullanıcı bazında yapılan analizler gereklidir. Özellikle bir hesapta alışılmadık oturum açma aktiviteleri veya x-user-agent başlıklarının değişiklikleri, siber tehditlerin belirlenmesinde yardımcı olabilir.

Sonuç olarak, CVE-2021-22017 zafiyeti durumu, log analizi ve adli bilişim yetenekleri ile hızlı bir şekilde tespit edilebilir. Ancak, bu sürecin etkinliği, eğitimli bir güvenlik uzmanının tecrübesine ve kullandıkları analiz araçlarının yeterliliğine bağlıdır. Sistemin güvenliği, doğru önlemler alınarak ve sürekli olarak gözlemlenerek sağlanabilir.

Savunma ve Sıkılaştırma (Hardening)

CVE-2021-22017 zafiyeti, VMware vCenter Server üzerinde bulunan ve URI normalizasyonunun yanlış uygulanmasından kaynaklanan bir güvenlik açığıdır. Bu tür zafiyetler, bir saldırganın doğru erişim izinlerine sahip olmadığı kaynaklara erişim sağlamasına imkan tanır. Bu durumda, Rhttproxy bileşeni üzerinden gerçekleştirilen saldırılar sonucunda, kötü niyetli bir kullanıcı, sistem üzerinde yetki kazanabilir ve potansiyel olarak zararlı işlemler yapabilir.

Bu tür bir açığın kapatılması için öncelikle sistemin güncellenmesi gerekir. VMware, CVE-2021-22017 açığı için bir güvenlik güncellemesi sağlamıştır. Düşük riskli durumlarda, sisteme etki eden bir güncelleme yapılması gerekebilir. Ancak, güncellemeler dışında bazı kalıcı sıkılaştırma (hardening) adımları da atmak gereklidir.

Rhttproxy üzerindeki zafiyeti kapatmak için uygulanabilecek bazı pratik adımlar arasında, WAF (Web Application Firewall) kurallarının yapılandırılması yer alıyor. WAF, uygulama tabanlı saldırıları engellemeye yardımcı olan bir araçtır ve istismar edilebilecek isteklere karşı koruma sağlar. Aşağıda örnek bir WAF kuralı yer almakta:

SecRule REQUEST_URI "@rx /[^/]+\\..+" "id:1001,phase:1,deny,status:403"

Bu kural, URI'nin belirli bir deseni ihlal etmesi durumunda isteği engeller ve saldırganların zararlı erişim gerçekleştirmesinin önüne geçer.

Bunun dışında, aşağıdaki sıkılaştırma önerileri de uygulanabilir:

1. Erişim Kontrolü: Kullanıcı erişim izni, rol tabanlı bir model (RBAC) kullanılarak sağlanmalıdır. Her kullanıcının yalnızca gerekli kaynaklara erişim hakkı olmalı ve gizli uç noktalar sıkı bir erişim kontrolüne tabi tutulmalıdır.

2. Loglama ve İzleme: Güvenlik olayları ve erişim denemeleri dikkatle izlenmelidir. Anormal bir durum tespit edildiğinde, bu durum hızla araştırılmalıdır. Log kayıtları, potansiyel saldırı girişimlerini erken tespit etmek için önemlidir.

3. Güvenli Şifreleme Protokolleri: Tüm iletişimlerin şifrelenmesi, özellikle hassas verilerin iletiminde kritik öneme sahiptir. HTTPS ve diğer güvenli iletişim protokollerinin kullanımı teşvik edilmelidir.

4. Güncelleme ve Yamanın Önemi: Yazılımlar, en son güvenlik yamaları ile güncel tutulmalıdır. Yazılım güncellemeleri, güvenlik açıklarının kapatılmasını sağlar; dolayısıyla düzenli olarak kontrol edilmesi ve uygulanması kritik bir savunma mekanizmasıdır.

5. Ağ Segmentasyonu: Ağ içinde önemli kaynakları ayırmak, saldırganların ağ üzerindeki hareketlerini sınırlamak için etkili bir yöntemdir. İçeride yer alan her bir sistem, minimum gerekli erişimle korunmalı ve potansiyel bir iç tehdide karşı riskler minimize edilmelidir.

Bu tavsiyeler, CVE-2021-22017 zafiyetinin etkilerini azaltmaya yardımcı olurken, genel sistem güvenliğini de artıracaktır. Etkin bir güvenlik durumu sağlamak için, her zaman en son gelişmeleri takip etmek ve güvenlik süreçlerini sürekli olarak güncelleyerek iyileştirmek önemlidir. Unutulmamalıdır ki, bir güvenlik açığı yalnızca teknik önlemlerle değil, aynı zamanda sürekli bir farkındalık ve eğitim süreci ile de kontrol altına alınabilir.