CVE-2021-22681: Rockwell Multiple Products Insufficient Protected Credentials Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-22681 zafiyeti, Rockwell Automation tarafından üretilen çoklu ürünlerde bulunan ve yetersiz korunan kimlik bilgileri ile ilgili bir güvenlik açığıdır. Bu zafiyet, özellikle Studio 5000 Logix Designer yazılımında tespit edilmiştir. Bu yazılım, Logix kontrolörleri ile iletişim kurmak için kullanılan anahtarın (key), belirli şartlar altında keşfedilmesine olanak tanır. Eğer bu zafiyet kötü niyetli bir kişi tarafından kullanılırsa, yetkisiz bir uygulamanın Logix kontrolörlerine bağlanmasına imkân sağlayabilir. Bu durum, sanayi otomasyonu alanında ciddi riskler oluşturabilir.

Zafiyetin kökenlerine baktığımızda, Rockwell ürünlerinin geliştirilmesinde kullanılan yazılım ve kütüphanelerdeki bir tasarım hatasından kaynaklanmaktadır. Studio 5000 Logix Designer yazılımındaki kimlik doğrulama süreçleri yeterince güvenli bir şekilde yapılandırılmamış ve bu durum, yetkisiz kullanıcıların sistemle etkileşime geçmesine olanak tanımıştır. Bu noktada, Common Weakness Enumeration (CWE-522) kodu ile sınıflandırılan "yetersiz korunan kimlik bilgileri" konusuyla bağlantılı olduğuna dikkat çekmek gerekir.

Dünya genelindeki etkilerine baktığımızda, bu zafiyet özellikle üretim, enerji, ulaşım ve altyapı sektörlerinde büyük bir tehdit oluşturmaktadır. Rockwell Automation’ın ürünleri, otomasyon sistemlerinin kalbinde yer almakta olup, birçok endüstriyel kontrol sisteminin temel bileşenlerini oluşturur. Dolayısıyla, bu tür bir zafiyetin kötüye kullanılması, hem iş sürekliliğini tehlikeye atabilir hem de büyük maddi zararlara yol açabilir. Örneğin, bir enerji santrali sisteminin kontrolü ele geçirildiğinde, bu durum sadece ekonomik kayıplara değil, aynı zamanda halk sağlığına yönelik ciddi tehditlere de neden olabilir.

Zafiyetin potansiyel uygulamalarına örnek vermek gerekirse, bir saldırganın, hedeflerinin olduğu bir ağda yetkisiz bir şekilde yer alabilmesi için, kontrol birimlerine erişim sağlayabilmesi gerekmektedir. Bu, ağın güvenlik duvarlarını aşarak yapılabilir. Bunun için hacker'ın, önceden belirlenmiş bir ağ segmentine erişim sağlamak için çeşitli yöntemler denemesi gerekir. Kullanıcıların, sahte kimlik bilgilerinin tespit edilmesini sağlamak için, Sniffing (paket dinleme) veya Man-In-The-Middle (MITM) saldırı tekniklerini kullanmaları söz konusu olabilir. Bu tür saldırılar, sistemin nasıl çalıştığını anlama ve bir saldırı vektörü olarak kullanma fırsatı sağlar.

Sonuç olarak, CVE-2021-22681 zafiyeti, kritik altyapıların güvenliği açısından büyük bir tehdit oluşturmakta ve bu durumun ciddiyeti, siber güvenlik uzmanlarının ve “White Hat Hacker”ların bu zafiyeti anlaması ve sistemleri koruma altına alması gerektiğini gösteriyor. Ancak, her bireyin kendi ağ güvenliğini sağlamak için öncelikle bu tür zafiyetlerin farkında olması ve sistemleri güncel tutması gerekmektedir. Sistemlerindeki savunma mekanizmalarını güçlendirmek için güncellemeleri takip etmek, güvenlik açıklarını tespit etmek ve sadece güvenilir kaynaklardan yazılım yüklemek gibi temel önlemler alınabilir.

Teknik Sömürü (Exploitation) ve PoC

Rockwell'un birçok ürünündeki yetersiz korunan kimlik bilgileri zafiyeti (CVE-2021-22681), siber güvenlik alanında dikkat edilmesi gereken önemli bir konudur. Özellikle endüstriyel otomasyon sistemlerinde kullanılan Logix kontrol cihazları için bu tür zafiyetler, siber saldırganların bu sistemlere yetkisiz erişim elde etmelerini sağlayabilir. Bu makalede, bu zafiyetin nasıl sömürülebileceği üzerine bir teknik değerlendirme yapacağız.

Öncelikle, zafiyetin temelini anlamak önemlidir. Rockwell'un Studio 5000 Logix Designer yazılımında kullanılan bir anahtar, Logix kontrol cihazları ile Rockwell Automation tasarım yazılımı arasında iletişimi doğrulamak için kullanılmaktadır. Bu anahtarın korunmasında yetersizlik söz konusu olduğunda, bir saldırganın bu anahtarı keşfetmesi ve kontrol cihazlarına yetkisiz erişim sağlaması söz konusu olabilir.

Bir siber saldırganın, bu zafiyeti kullanarak Logix kontrol cihazlarına ulaşabilmesi için öncelikle ağa erişim sağlaması gerekir. Ağ erişimi sağlandıktan sonra aşağıdaki adımlar izlenebilir:

Ağ Topolojisini Anlamak: Saldırgan, hedef ağdaki cihazların ve sistemlerin nasıl yapılandığını analiz etmelidir. Rockwell ürünlerinin hangi IP adreslerine sahip olduğu, bu sistemlerin hangi portları kullandığı gibi bilgileri toplamak önemlidir. Bunun için çeşitli ağ tarayıcı araçları kullanılabilir.
Keşif (Reconnaissance): Hedef cihazlarla iletişim kurulmasını sağlayan protokolleri ve bağlantı noktalarını keşfetmek için bazı araçlar kullanılabilir. Bu aşamada, saldırganın taşıdığı yetkilere bağlı olarak, örneğin bir nmap taraması ile ağda dinleyen tüm cihazları tespit edebilir.
```
nmap -sP 192.168.1.0/24
```
Kimlik Bilgilerini Yakalamak (Credential Harvesting): Zafiyetin temelini oluşturan anahtarın keşfi için, iletişim trafiğini izlemek önemlidir. Bu aşamada, Wireshark gibi bir paket dinleme aracı kullanılabilir. Hedef kontrol cihazı ile yapılan istekler ve yanıtlar analiz edilerek, gerekli kimlik bilgileri ele geçirilmeye çalışılır.

Anahtarın Sömürülmesi (Exploitation of the Key): Elde edilen bilgilerin ardından, Rockwell kontrol cihazlarına yetkisiz erişim sağlamak için bu anahtar kullanılabilir. Aşağıdaki örnek, bir HTTP isteği ile kontrol cihazına bağlanmayı göstermektedir.

import requests

url = "http://192.168.1.10/api/connect"
headers = {
    "Authorization": "Bearer &lt;anahtar&gt;"
}

response = requests.get(url, headers=headers)

if response.status_code == 200:
    print("Başarıyla bağlandınız!")
else:
    print("Bağlantı başarısız!")

Yetkisiz Eylemler Gerçekleştirmek (Performing Unauthorized Actions): Kontrol cihazına bağlandıktan sonra, saldırgan çeşitli eylemler gerçekleştirebilir. Bu eylemler arasında kontrol cihazının yapılandırmasını değiştirmek, yeni programlar yüklemek veya var olan programları silmek sayılabilir.

Gerçek dünya senaryosunda, bu tür bir zafiyetin kullanılmasının sonuçları oldukça ciddi olabilir. Endüstriyel otomasyon sistemlerine yetkisiz erişim, üretim süreçlerini durdurabilir, iş güvenliğini tehlikeye atabilir ve maddi kayıplara yol açabilir. Dolayısıyla, bu tür zafiyetlere karşı önlem almak ve sürekli olarak ağ güvenliğini sağlamak hayati öneme sahiptir.

Siber güvenlik uzmanları, bu tür zafiyetlerin varlığını tespit etmek için çeşitli güvenlik testleri gerçekleştirmeli ve potansiyel zafiyet noktalarına karşı sürekli izlemede bulunmalıdır. Ayrıca, şifreleme ve kimlik doğrulama mekanizmalarının güçlendirilmesi, bu tür tehditlere karşı etkili bir savunma olacaktır.

Forensics (Adli Bilişim) ve Log Analizi

Rockwell ürünlerinin, özellikle Studio 5000 Logix Designer yazılımının maruz kaldığı CVE-2021-22681 zafiyeti, siber güvenlik alanında önemli bir riski temsil etmektedir. Bu zafiyet, yetkisiz bir kullanıcının Logix kontrol cihazlarına bağlanmasına olanak tanıyan yetersiz korunan kimlik bilgileri ile ilgilidir. Bu tür zafiyetlerin istismar edilmesi, potansiyel olarak endüstriyel otomasyon sistemlerinde büyük güvenlik açıklarına yol açabilir. Bu nedenle, siber güvenlik uzmanlarının bu konuda dikkatli olması gerekmektedir.

Birisi bu zafiyetten yararlanmayı amaçlıyorsa, ilk olarak ilgili kontrol cihazlarına ağ üzerinden erişim sağlaması gerekecektir. Zafiyeti değerlendirecek bir saldırgan, kontrollere bağlanmak için gerekli olan anahtarın keşfedilmesiyle ilgili aşamalara dikkat çekecektir. Bu tür durumlar, genelde siber güvenlik izleme ve analitik araçları ile tespit edilebilir.

Siber güvenlik uzmanları, SIEM (Security Information and Event Management) veya log dosyalarını inceleyerek bu tür bir saldırıyı tespit edebilirler. Tespit edilecek bazı önemli imzalar (signature) ve log türleri şunlardır:

Access Log'lar: Erişim logları, ağa yapılan tüm bağlantı girişimlerini kayıt altına alır. Burada özellikle yetkisiz IP adreslerinden gelen bağlantı talepleri dikkat çekicidir. Eğer loglarda anormal ve beklenmedik bir kaynak IP adresiyle yapılan bağlantı girişimleri varsa, bu durum potansiyel bir saldırı işareti olabilir.
```
[2021-10-01 14:02:34] [ACCESS] [FAILED] [IP: XXX.XXX.XXX.XXX] - Yetkisiz erişim denemesi
```
Error Log'lar: Hata logları, sistemde meydana gelen hataları detaylı bir şekilde günlüğe kaydeder. Burada, kullanıcının yetkilendirilmiş erişim denemeleri sırasında aldığı hatalar, zafiyetin istismar edilmiş olabileceğine dair ipuçları verebilir. Yetkilendirme hataları ve istenmeyen hatalar, analiz edilmelidir.
```
[2021-10-01 14:03:12] [ERROR] [AUTH_FAILURE] [USER: unknown] - Geçersiz kullanıcı kimlik bilgileri
```
Anormal Ağ Trafiği: Log analizi yaparken, anormal ağ trafiği de göz önüne alınmalıdır. Örneğin, yüksek bant genişliği tüketimi veya sıra dışı bağlantı sayıları, bir saldırı girişiminin işareti olabilir. Bu tür tespitler için trafik analizi araçları kullanmak faydalı olacaktır.
Sistem Değişiklikleri: Kontrol sistemlerinde beklenmedik değişikliklerin kaydedilmesi, siber saldırılara dair başka bir önemli göstergedir. Eğer bir kontrol cihazının ayarlarında veya yazılımında beklenmeyen değişiklikler gözlemlenirse, bu durum bir saldırı izininin arayışı için önemli bir tetikleyici olabilir.

Bu durumları gözlemlemek, siber güvenlik uzmanlarının potansiyel zafiyetlere ya da siber saldırılara karşı koruma sağlamalarına yardımcı olabilir. Özellikle endüstriyel sistemlerde, güvenlik açığı olan noktaların belirlenmesi ve gerekli önlemlerin alınması kritik önem taşımaktadır. Zafiyetlerin istismar edilmesi durumunun engellenmesi için sürekli ağ taramaları ve log analizi yapmak gerekmektedir. Bu nedenle, siber güvenlik uzmanlarının bu doğrultuda yetkinlik kazanması ve etkin bir analiz stratejisi oluşturması büyük önem arz etmektedir.

Savunma ve Sıkılaştırma (Hardening)

Rockwell Automation'ın birçok ürününde bulunan CVE-2021-22681 zafiyeti, yetersiz korunmuş kimlik bilgileri ile ilgili bir güvenlik açığıdır. Bu açık, Studio 5000 Logix Designer yazılımının bir anahtarın keşfedilmesine olanak tanıması ile başlar. Bu anahtar, Logix kontrol cihazlarının Rockwell Automation tasarım yazılımı ile iletişim kurup kurmadığını doğrulamak için kullanılır. Eğer bu açık başarılı bir şekilde istismar edilirse, yetkisiz bir uygulamanın Logix kontrol cihazlarına bağlanmasına olanak tanıyabilir.

Açığın Kapatılması

Bu zafiyeti kapatmanın ilk adımı, kontrol cihazları ve bu cihazlarla etkileşimde bulunan yazılımlar arasındaki iletişimi sıkılaştırmaktır. Kullanıcı kimlik doğrulamalarını güçlendirmek, karmaşık ve tahmin edilmesi zor anahtarların (veya şifrelerin) kullanılmasını sağlamak, yetkisiz erişimi azaltacaktır. Ayrıca, aşağıdaki teknik önlemleri almak önemlidir:

Ağ Erişimi Kontrolü: Kontrol cihazlarının bulunduğu ağ kısmını, sadece yetkili kullanıcıların ve cihazların erişebileceği şekilde sınırlandırmak önemlidir. Bu, VLAN kullanarak veya ayrı bir güvenlik duvarı (firewall) ile yapılabilir.
VPN Kullanımı: Uzaktan bağlantı sağlamak için sanal özel ağ (VPN) kullanmak, iletişimi şifreleyerek kötü niyetli kullanıcıların veri akışını izlemesini zorlaştırır.
Güncellemelerin Uygulanması: Rockwell ürünlerinin güncellemeleri takip edilmeli ve en son yazılım güncellemeleri uygulanmalıdır. Bu, ortaya çıkan yeni güvenlik açıklarının kapatılmasını sağlar.

Alternatif Firewall (WAF) Kuralları

Web uygulama güvenlik duvarları (WAF), belirli güvenlik politikalarıyla yapılandırılarak, istenmeyen erişimleri engellemek için kullanılabilir. Alternatif WAF kuralları aşağıdaki gibi tanımlanabilir:

Giriş Kontrolleri: Tüm sistemlere gönderilen veriler (HTTP istekleri vb.) üzerinde kontrol sağlayarak, belirli bir formatta olmayan isteklerin reddedilmesi sağlanabilir. Bunun için şu kurallar kullanılabilir:
```
SecRule ARGS:username ".*" "phase:2,deny,id:1000001"
SecRule ARGS:password ".*" "phase:2,deny,id:1000002"
```
Hassas Bilgilerin İhlali: Ağ üzerinden geçen hassas verilerin (örneğin, kimlik bilgileri) belirlenmesi ve bu bilgilerin sistemden çıkışının engellenmesi için kurallar eklenebilir:
```
SecRule RESPONSE_BODY "(password|username|api_key)" "phase:3,deny,id:1000003"
```

Kalıcı Sıkılaştırma Önerileri

Zafiyetin kalıcı olarak kapatılması için aşağıdaki sıkılaştırma önerileri dikkate alınmalıdır:

Kimlik ve Erişim Yönetimi: Kullanıcıları ve sistem bileşenlerini yöneten merkezi bir kimlik yönetimi sistemi kullanabilirsiniz. Rol tabanlı erişim kontrolü (RBAC) ile sadece gerekli yetkilere sahip olan kullanıcıların sisteme erişimini sağlamak önemlidir.
Güvenlik Eğitimleri: Tüm kullanıcılar için güvenlik bilinci eğitimleri düzenlenmelidir. Gerçek dünya senaryoları üzerinde yaşanmış güvenlik ihlalleri gösterilerek, kullanıcıların dikkatli olması sağlanmalıdır.
Ağ Zamanlaması: Güvenli olmayan protokolleri devre dışı bırakmak ve yalnızca güncel şifreleme standartlarını kullanan iletişim yöntemlerini seçmek, siber tehlikelere karşı savunma sağlar.

Sonuç olarak, CVE-2021-22681 zafiyeti gibi kritik açıkların kapatılması, sadece teknik önlemlerle değil, aynı zamanda iş gücü eğitimi ve güvenlik politikaları ile de sağlanmalıdır. Yenilikçi güvenlik yaklaşımları ve proaktif önlemlerle, kontrol cihazlarının tüm sistemlerinde güvenliğin artırılması mümkündür.