CVE-2021-22900: Ivanti Pulse Connect Secure Unrestricted File Upload Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Ivanti Pulse Connect Secure, uzaktan erişim çözümleri sunan bir platformdur ve birçok kuruluşun kritik verilerine güvenli bir şekilde erişimini sağlamak amacıyla kullanılmaktadır. Ancak, bu platformda tespit edilen CVE-2021-22900 zafiyeti, özellikle siber güvenlik alanında önemli bir tehdit oluşturmaktadır. Bu zafiyet, kimliği doğrulanmış bir yöneticinin kötü amaçlı olarak hazırlanmış bir arşiv yüklemesi gerçekleştirmesi yoluyla dosya yazma işlemleri yapmasına olanak tanımaktadır. Bu tür bir boşluk, uzaktan kod yürütmesini (RCE - Remote Code Execution) mümkün kılabilir ve sistemin güvenliğini tehdit eden ciddi bir durum yaratabilir.

Bu zafiyet, Ivanti’nin web tabanlı yöneticilik arayüzünde, dosya yükleme işlemlerinin yeterince sıkı bir şekilde doğrulanmamasından kaynaklanmaktadır. Saldırganlar, bu durumu kötüye kullanarak sistem üzerinde kötü niyetli dosyalar yükleyebilir ve bu dosyaların yürütülmesine neden olabilmektedir. Saldırganlar, arşiv dosyalarını kullanarak zararlı kodları saklamakta ve bu kodları sistemde çalıştırmak için gerekli ortamı sağlamaktadırlar. Böylece, uzaktan erişim sağlayarak, verilere ve sistem kaynaklarına izinsiz erişim elde edebilmektedirler.

CVE-2021-22900 zafiyetinin tarihçesi, ilk olarak 2021 yılı içerisinde ortaya çıkmıştır. Zafiyet, Ivanti'nin güvenlik güncellemesi ile kullanıcıların dikkatine sunulmuş ancak, bu tür bir zafiyetin tespiti ve analizi, güvenlik araştırmacıları açısından büyük öneme sahiptir. Zira, uygulamaların sürekli olarak test edilmesi, yeni güvenlik açıklarının tespit edilmesi ve bu açıkların kapatılması, siber saldırılara karşı etkin bir savunma mekanizması oluşturulmasında kritik bir rol oynamaktadır.

Dünya genelinde etkisi oldukça geniş olan bu zafiyet, özellikle finans, sağlık ve kamu sektörü gibi kritik sektörleri hedef almıştır. Kuruluşlar, Ivanti Pulse Connect Secure'i kullanarak çalışanlarına uzaktan erişim imkanı sağlarken, aynı zamanda bu tür zafiyetlerin ortaya çıkma riskini de göze almış olmaktadırlar. Zira, zafiyetin varlığı nedeniyle sistemlere gerçekleştirilecek siber saldırılar, veri kaybı, itibar zedelenmesi ve mali kayıplar gibi ciddi sonuçlara yol açabilir.

Gerçek dünya senaryolarına bakacak olursak, bir sağlık kuruluşu, hastaların tüm sağlık verilerini Ivanti Pulse Connect Secure üzerinden yöneticilerinin erişimine açtığında, kötü niyetli bir saldırganın bu zafiyeti kullanarak sisteme sızması durumunda hasta verileri tehlikeye girebilir. Aynı zamanda, bir finans kuruluşunda benzer bir senaryoda, mali bilgilerin ele geçirilmesi, dolandırıcılık faaliyetlerinin artmasına neden olabilir.

Sonuç olarak, CVE-2021-22900 zafiyeti, uzaktan erişim çözümleri sunan sistemlerde göz ardı edilmemesi gereken ciddi bir güvenlik açığıdır. Söz konusu zafiyetin varlığı, sistemlerin güvenliğini tehdit edebilmekte ve kurumsal veri güvenliği konusundaki endişeleri artırmaktadır. Bu tür açıkların önüne geçmek için, sürekli güncellemeler yapmak ve sistemlerin güvenlik yapılandırmalarını gözden geçirmek büyük önem taşımaktadır. Kullanıcılar ve yöneticiler, bu zafiyetlerden etkilenmemek için sistemlerini dikkatlice izlemeli ve herhangi bir olağandışı durumda hızlı bir şekilde müdahale edebilmelidir.

Teknik Sömürü (Exploitation) ve PoC

Ivanti Pulse Connect Secure ürünündeki CVE-2021-22900 zafiyeti, yetkili bir yöneticinin kötü niyetli bir şekilde hazırlanmış bir arşiv dosyası yüklemesi yoluyla dosya yazma işlemi gerçekleştirmesine olanak tanıyan bir sınırsız dosya yükleme (Unrestricted File Upload) zafiyetidir. Bu tür zafiyetler, kötü niyetli kullanıcılar tarafından geniş çaplı istismar edilebilir ve sistemin güvenliğini ciddi şekilde tehdit edebilir. Bu bölümde, bu zafiyeti nasıl istismar edebileceğinizi ve bunu yaparken nelere dikkat etmeniz gerektiğini detaylandıracağız.

Öncelikle, bu zafiyeti istismar etmek için hedef sistemde bir yönetici hesabına sahip olmanız gerekmektedir. Yönetici hesabıyla sisteme giriş yaptıktan sonra, zafiyetin bulunduğu arayüze gitmelisiniz. Bu arayüz, kötü niyetli bir arşiv dosyasını yüklemek için kullanılan yerdir.

Zafiyetin istismarına yönelik ilk adım, dikkatlice hazırlanmış bir arşiv dosyası oluşturmaktır. Bu arşiv dosyası, hedef sistemde çalıştırılabilir bir yük olarak tasarlanmalıdır. Örneğin, bir PHP web shell içeren bir arşiv dosyası kullanabilirsiniz. Aşağıdaki gibi basit bir PHP scripti oluşturup bunu arşivleyebilirsiniz:

<?php
system($_GET['cmd']);
?>

Bu dosyayı 'shell.php' adıyla kaydettikten sonra, bunu bir ZIP dosyası içine koyun. ZIP dosyasını 'exploit.zip' olarak adlandırın. Yapmanız gereken bir sonraki adım, bu ZIP dosyasını hedef sistemdeki yönetici arayüzüne yüklemektir. Yükleme işlemi sırasında dikkat etmeniz gereken, yükleme işleminin sınırsız dosya yükleme güvenlik kontrolü olmayan bir yere yapıldığından emin olmaktır.

Yükleme işlemi tamamlandıktan sonra, arşiv dosyasını çıkartmak ve içindeki 'shell.php' dosyasını çalıştırmak için bir HTTP isteği gönderin. Aşağıda, bu isteği oluşturmak için kullanılacak basit bir örnek bulunmaktadır:

GET http://hedef-sistem/shell.php?cmd=whoami HTTP/1.1
Host: hedef-sistem

Bu isteği gönderdiğinizde, hedef sistem üzerindeki phpshell çalıştırılmış olacak ve 'whoami' komutunun çıktısını alacaksınız. Eğer talebiniz başarılı olursa, hedef sistemdeki mevcut kullanıcı bilgilerini elde etmiş olursunuz. Buradan itibaren, hedef sistemde daha fazla komut çalıştırabilir ve zafiyeti daha da derinlemesine inceleyebilirsiniz.

Zafiyeti sömürdükten sonra, elde ettiğiniz erişimi gizli tutmak oldukça önemli olacaktır. Sistem üzerinde normalden farklı etkinlikler sergilemek, sistem yöneticileri tarafından kısa sürede fark edilebilir. Bu nedenle, yüklediğiniz araçları ve çağrılan komutları dikkatlice seçmelisiniz.

Gerçek dünyada bu tür zafiyetlerin istismarına karşı çeşitli güvenlik önlemleri vardır. Örneğin, yükleme sürecine kısıtlamalar getirilmesi, dosya türü denetimleri yapılması ve yüklenen dosyaların antiviral yazılımlar tarafından kontrol edilmesi gibi. Ancak, kötü niyetli bir kullanıcı bu önlemleri aşmak için sürekli yeni yollar aramaktadır.

Sonuç olarak, CVE-2021-22900 zafiyeti, bir yönetici hesabının kullanılmasının gerektiği bir zafiyet olmasına rağmen, doğru teknik ve stratejilerle istismar edilebilir. White Hat Hacker perspektifinden bakıldığında, bu tür zafiyetlerin tespiti ve raporlanması, güvenliğin artırılması ve sistemin korunması açısından kritik öneme sahiptir. Zafiyetlerin keşfi ve sömürülmesi, siber güvenlik alanında farkındalık yaratmak ve sistemlerin dayanıklılığını artırmak adına önemli bir adım olarak görülmelidir.

Forensics (Adli Bilişim) ve Log Analizi

Ivanti Pulse Connect Secure’un CVE-2021-22900 olarak tanımlanan sınırsız dosya yükleme (unrestricted file upload) zafiyeti, sızma testi (penetration test) süreçlerinde sıkça karşılaşılan önemli güvenlik açıklarından biridir. Bu zafiyet, yetkili bir yöneticinin, yönetim web arayüzüne zarar verme amaçlı olarak kötü niyetli bir biçimde hazırlanmış bir arşiv yüklemesi gerçekleştirmesine olanak tanır. Bu tür bir saldırı, uzaktan kod yürütme (Remote Code Execution - RCE) gibi daha ciddi güvenlik açıklarına yol açabilir.

Siz bir "White Hat Hacker" olarak, bu tür bir zafiyetin varlığını belirlemek ve önlemek üzere log analizi yaparken dikkat etmeniz gereken bazı temel noktalar olacaktır. İlk olarak, siber güvenlik uzmanları için erişim günlükleri (Access Logs) ve hata günlükleri (Error Logs) kritik öneme sahiptir. Uzmanlar, bu log dosyalarını detaylı bir şekilde inceleyerek, sistem üzerinde yapılan anormal aktiviteleri tespit etmeye çalışmalıdır.

Erişim günlüklerinde, belirli bir IP adresinin veya kullanıcı hesabının, olağan dışı dosya yükleme faaliyetlerinde bulunup bulunmadığını kontrol etmek önemlidir. Örneğin, şu tür bir giriş kaydı dikkatinizi çekmelidir:

176.67.32.145 - admin [01/Jan/2023:10:00:00 +0000] "POST /upload HTTP/1.1" 200 2320

Bu kayıt, "admin" kullanıcısının belirli bir IP üzerinden sistemde dosya yükleme gerçekleştirdiğini göstermektedir. Burada dikkat edilmesi gereken, yüklenen dosyanın boyutu, türü ve dosya adı gibi bilgilerin de incelenmesidir. Örneğin, dosya adı uzantısının zip, tar veya exe gibi potansiyel olarak zararlı veya işlenmesi beklenmeyen bir formatta olup olmadığı kontrol edilmelidir.

Ayrıca hata günlükleri, sistemin tepkilerini anlamak açısından değerlidir. Özellikle dosya yükleme ile ilgili bir hata mesajının çıkağı olması, potansiyel bir güvenlik açığına işaret edebilir. Örneğin, aşağıdaki türde bir hata kaydı, anormal bir durumun var olduğunu gösterebilir:

[ERROR] File type not allowed: example.zip

Bu tür hatalar, sistemin beklenmeyen bir dosya yüklemeye karşı koruma mekanizmasının devreye girdiğini gösterir. Eğer bu hata iletisi belirli bir IP adresinden tekrar tekrar geliyorsa, bu durum bir sızma girişimi olarak değerlendirilebilir.

Ayrıca, aktif bir sızma testi gerçekleştirirken, örneğin bir ağ dinleme aracı kullanarak (Wireshark veya tcpdump gibi), ağ trafiğini incelemek de faydalı olacaktır. Yükleme işlemi sırasında gönderilen paketlerin içeriği, özellikle kötü niyetli bir saldırının izlerini taşıyor olabilir. Bunlar arasında şifrelenmemiş olarak gönderilen kimlik bilgileri, anormal boyutlardaki dosyalar veya sıradışı bir endpoint çağrıları yer alabilir.

Sonuç olarak, Ivanti Pulse Connect Secure üzerindeki bu zafiyetin tespit edilmesi, dikkatli bir log analizi ve anormal davranışların izlenmesiyle mümkündür. Gereken önlemler alındığında, bu tür zafiyetlerin sistemler üzerindeki etkisi minimize edilebilir. Bu nedenle, siber güvenlik uzmanlarının sürekli olarak sistem loglarını izlemeleri ve potansiyel tehditleri proaktif bir şekilde değerlendirmeleri hayati öneme sahiptir.

Savunma ve Sıkılaştırma (Hardening)

Ivanti Pulse Connect Secure, uzaktan erişim çözümleri sağlayan önemli bir platformdur ve içerisinde bulunan CVE-2021-22900 (Sınırsız Dosya Yükleme Açığı) gibi zafiyetler, sistemlerin güvenliğini derinden etkileyebilir. Bu zafiyet, kimlik doğrulaması yapılmış bir yöneticinin, kötü niyetli bir şekilde hazırlanmış arşiv dosyası yüklemesi yaparak dosya yazabilmesine olanak tanır. Bu tür bir saldırı, uzaktan kod çalıştırma (RCE - Remote Code Execution) ve yetki atlama (Auth Bypass) gibi daha büyük tehditler doğurabilir.

Açığın etkilerini azaltmak ve bu tür bir siber saldırının önüne geçmek için sıkılaştırma (hardening) yöntemleri kritik bir öneme sahiptir. İlk adım olarak, Ivanti Pulse Connect Secure platformunun en güncel sürümünün kullanılması önerilir. Üretici, zafiyetin kapatıldığı yamanın yüklü olduğundan emin olun. Ancak sadece güncellemeler yeterli değildir; yapılandırmaların gözden geçirilmesi ve gerekli güvenlik önlemlerinin alınması gerekmektedir.

Unrestricted file upload (sınırsız dosya yükleme) zafiyetlerinin önlenmesi için temel bir yöntem, yüklenen dosya türlerini kısıtlamaktır. Yalnızca belirli dosya türlerinin yüklenmesine izin verilmesi sağlanmalıdır. Örneğin, sadece uzantısı belirli olan dosyaların (örneğin .jpg, .png gibi) yüklenmesine izin verilirken, .exe, .php, ve .sh gibi uzantılar kesinlikle engellenmelidir. Bunun yanı sıra, yüklenen dosyaların içeriği de doğru bir şekilde analiz edilmelidir. Bu amaçla, aşağıda basit bir dosya türü kontrolü örneği verilmiştir:

def check_file_type(file):
    allowed_extensions = ['.jpg', '.jpeg', '.png', '.gif']
    if file.filename.endswith(tuple(allowed_extensions)):
        return True
    return False

Bir başka etkili güvenlik önlemi ise Web Uygulama Güvenlik Duvarı (WAF) kullanmaktır. WAF, uygulama katmanı üzerinde bir güvenlik katmanı ekler ve kötü niyetli trafiği filtreleyebilir. Ivanti Pulse Connect Secure ortamında kullanabileceğiniz alternatif WAF kuralları arasında, sık kullanılan dosya yükleme yollarının izlenmesi, yükleme limitlerinin uygulanması ve dosya içeriği taramasının gerçekleştirilmesi yer alabilir. Örneğin, aşağıdaki kural, yükleme isteklerinin belirli dosya türleriyle kısıtlanmasına yardımcı olabilir:

SecRule FILES_TMPNAMES "@rx \.(php|jsp|asp|exe|sh|pl)$" "id:1000001,phase:2,deny,status:403"

Sadece dosya türlerini sınırlamak yeterli değildir; sistemin genel güvenliğini artırmanın yolları da bulunmaktadır. Kullanıcı rolleri ve yetkileri dikkatle yönetilmeli, varsayılan yönetici hesapları devre dışı bırakılmalı ve her yöneticinin güçlü bir parolası olmasını sağlamak için şifre ilkeleri uygulanmalıdır. Loglama ve izleme mekanizmalarının kurulduğundan emin olunarak, şüpheli aktiviteler hızlıca tespit edilebilir.

Gerektiğinde birçok güvenlik katmanının uygulanması, siber saldırılara karşı etkili bir savunma oluşturur. Yazılım sürekli güncellenmeli, güvenlik taramaları düzenli aralıklarla yapılmalı ve tüm bunlarla beraber bir olay yanıt planı oluşturulmalıdır. Güvenlik her zaman bir süreçtir; yalnızca açıkları kapatmak değil, sistemlerin sürekli olarak gözden geçirilmesi ve güncellenmesi de gereklidir. Tüm bunları dikkate alarak, uzaktan erişim çözümleri için daha güvenli bir yapı oluşturulabilir.