CVE-2021-26084: Atlassian Confluence Server and Data Center Object-Graph Navigation Language (OGNL) Injection Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Atlassian Confluence Server ve Data Center'deki CVE-2021-26084 zafiyeti, bir nesne-graf navigasyon dili (Object-Graph Navigation Language, OGNL) enjeksiyonuna dayanmaktadır. Bu zafiyet, saldırganların, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırabilmesine (Remote Code Execution, RCE) olanak tanır. Zafiyet, Confluence'nın makina öğrenimi uygulamalarında kullandığı OGNL kütüphanesinin yanlış yapılandırılmasından kaynaklanıyor. Bu tür hatalar genellikle yazılımın, kullanıcı girdilerini nasıl işlediği ve bu girdilerin güvenliğinin nasıl sağlandığı konularında oluşan yanlış anlamaların sonucudur.

CVE-2021-26084'ün keşfi, 2021 yılının ortalarında yapılmış ve 2021 yılının Ekim ayında detaylarıyla kamuya duyurulmuştur. Anlaşılan o ki, saldırganlar bu zafiyeti kullanarak hedef sistemlerde komut çalıştırma yeteneğine sahipti. Bu durum, özellikle Confluence kullanan işletmeler için büyük bir güvenlik açığı oluşturmakta olup, açık kaynak ve özel kütüphaneler içeren tüm sektörleri; eğitim, finans, sağlık gibi kritik alanlardan etkileyebilmektedir.

Zafiyet, yazılımın iç yapısında olan bir hatadan besleniyor. Atlassian Confluence, kullanıcılarının veri ve dokümanlarını organizasyonel bir biçimde yönetmesine olanak tanırken, aynı zamanda kullanıcıların dinamik içerik oluşturmasına da olanak tanır. OGNL, bu içeriklerin işlenmesi ve yorumlanması sırasında önemli bir role sahiptir. Ancak yapılan bir güvenlik açığı analizi, OGNL’nin belirli kullanıcı girdilerini yeterince doğrulamadığını gösteriyor. Bu doğrulama hatası, potansiyel olarak bir saldırganın sistem üzerinde komut çalıştırabilmesi için gerekli ortamı yaratıyor.

Örnek bir senaryoya değinecek olursak, bir çalışan hedef sistemde belirli bir içerik oluşturma işlemi gerçekleştirmek isterken, saldırgan bir OGNL ifadesi ekleyerek sistem üzerinde uzaktan komut çalıştırabilir. Örneğin:

${T(java.lang.Runtime).getRuntime().exec('ls')}

Bu ifade, sistemdeki dosyaların listesini almak için çalıştırılabilir. Bu tür bir komut, eğer sistemde gerekli güvenlik önlemleri yoksa, saldırgana ciddi bir avantaj sağlar.

Dünya genelinde bu zafiyet, özellikle büyük işletmeler ve organizasyonlar açısından büyük bir tehdit oluşturmuştur. Eğitim kurumları, sağlık hizmetleri ve finans sektörü gibi hassas verilerin bulunduğu alanlar, bu tip zafiyetlere maruz kalmakta ve potansiyel veri ihlalleri ile karşı karşıya kalmaktadır. Saldırganlar, bu tür sistemleri hedef alarak müşteri verilerine ulaşabilir, sistem kaynaklarını kötüye kullanabilir ve yıkıcı sonuçlar doğurabilecek siber saldırılar düzenleyebilir.

Sonuç olarak, CVE-2021-26084 zafiyeti, Atlassian Confluence kullanıcıları için ciddi bir tehdit oluşturmaktadır. Yazılım geliştiricilerin OGNL’nin kullanımı sırasında gerekli güvenlik önlemlerini almaları ve kullanıcı girdilerini dikkatli bir şekilde doğrulamaları kritik önem taşımaktadır. Bilgi güvenliği uzmanlarının, bu tür zafiyetleri tespit etme ve önleme yöntemlerini sürekli güncellemeleri, hem kendi organizasyonlarını hem de kullanıcılarını korumak açısından hayati bir gerekliliktir. Bu bağlamda, bilgi güvenliği altyapılarının sürekli geliştirilmesi ve güncellenmesi, siber tehditlere karşı duyarlılığı azaltmanın en etkili yolu olacaktır.

Teknik Sömürü (Exploitation) ve PoC

Atlassian Confluence Server ve Data Center’da bulunan CVE-2021-26084 zafiyeti, Object-Graph Navigation Language (OGNL) enjeksiyonuna dayalı bir güvenlik açığıdır. Bu zafiyet, kötü niyetli bir saldırıcının, kimlik doğrulaması gerektirmeden sistemde kod çalıştırmasına olanak tanır. Bu tür bir uzaktan kod yürütme (RCE) açığı, veri ihlalleri ve sistemlerde büyük tahribat yaratma potansiyeli taşır.

Güvenlik açığının teknik detaylarına bakıldığında, OGNL ifadelerinin yanlış kullanımı sonucu oluşan durumlar bu zafiyeti ortaya çıkarmaktadır. Saldırganlar, OGNL ifadelerini manipüle ederek sistemdeki bakış açısını değiştirebilir ve istenmeyen komutlar çalıştırabilir. Yani, bu zafiyet sayesinde saldırgan, Confluence uygulamanın veri modeline erişim sağlayarak çeşitli komutları çalıştırabilir.

Sömürü adımlarını detaylandırarak ilerleyelim:

Hedef Belirleme: İlk adım olarak, zafiyeti taşıyan bir Confluence sunucusunu hedeflemek gerekir. Versiyon kontrolü yapmak adına, genellikle sunucu üzerinde bulunan GET / veya GET /status gibi endpoint'leri kullanarak gerekli bilgilere ulaşmak mümkündür.
OGNL Enjeksiyonunu Test Etme: Hedef sunucuya OGNL kodunu içeren bir istek göndererek çalışıp çalışmadığını test etmelisiniz. Örneğin, aşağıdaki gibi bir HTTP isteği oluşturabilirsiniz:

   GET /rest/space/ HTTP/1.1 
   Host: target-confluence.com 
   Content-Type: application/json 
   Accept: application/json 
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36

Kod Yürütme: Eğer sistemin zafiyeti kritik seviyedeyse, şunları deneyebilirsiniz:

   POST /rest/some-endpoint HTTP/1.1
   Host: target-confluence.com
   Content-Type: application/x-www-form-urlencoded

   param1=somevalue&amp;param2=%23context%3A%3Aget%28%27system.property%27%29%23%22%3A%3Aget%28%27java.version%27%29

Bu şekilde, sistemdeki belirli parametrelerle OGNL enjeksiyonu gerçekleştirilerek kod çalıştırma potansiyeli artırılabilir.

Sonuçları Gözlemleme: Gönderdiğiniz istekler sonrası sunucunun yanıtlarını dikkatlice inceleyin. Eğer istekler başarılı olduysa, sunucudan aldığınız yanıtlar size, yanlış konfigüre edilmiş OGNL ifadeleri ile neler yapabileceğinizi gösterir.
Exploit Geliştirme: Gelişmiş bir exploit yazmak için Python kullanılabilir. Aşağıda verilecek basit bir exploit taslağı, OGNL enjeksiyonunu hedef alan bir uygulama sunmaktadır:

   import requests

   url = "http://target-confluence.com/rest/some-endpoint"
   payload = {"param1": "value", "param2": "#context::get('system.property')#'some_command"}

   response = requests.post(url, data=payload)
   print(response.text)

Elde edilen bulgularla, bu güvenlik açığını keşfeden bir white hat hacker olarak, gerekli düzeltmelerin yapılmasını sağlamak ve ilgili tarayıcının güncellenmesini teşvik etmek kritik önem taşır. Ayrıca, bu tür zafiyetlerin sistemler üzerindeki etkilerini anlamak adına düzenli güvenlik testlerinin yapılması önerilmektedir. Eğitim ve farkındalık, sistem yöneticileri ve kullanıcılar arasında sürekli olarak sürdürülmelidir.

CVE-2021-26084 gibi zafiyetlere sahip sistemler açısından proaktif yaklaşım ve güvenlik önlemlerinin alınması, veri güvenliği ve sistem bütünlüğünü koruma adına hayati öneme sahiptir.

Forensics (Adli Bilişim) ve Log Analizi

Atlassian Confluence Server ve Data Center'da bulunan CVE-2021-26084 güvenlik açığı, bir Object-Graph Navigation Language (OGNL) enjeksiyon zafiyeti olarak öne çıkmaktadır. Bu açık, saldırganların kimlik doğrulaması gerektirmeden kod çalıştırmasına olanak tanımaktadır. Siber güvenlik uzmanları için bu tür zafiyetlerin tespit edilmesi kritik bir öneme sahiptir, çünkü siber saldırılar genellikle sistemlerde büyük hasar yaratmadan önce uzun bir süre boyunca iz bırakmadan gerçekleştirilir.

Saldırının tespit edilmesi, öncelikle sistem loglarının detaylı bir şekilde incelenmesiyle mümkündür. SIEM (Security Information and Event Management) sistemleri kullanarak, ağ üzerinde log kayıtları toplanmalı ve analiz edilmelidir. Bu bağlamda, Access log'lar ve Error log'lar dikkatle incelenmelidir. Özellikle, OGNL enjeksiyonuna işaret edebilecek imzalar aramak gereklidir. Kötü niyetli bir kullanıcı tarafından yollanan isteklerde, genellikle belirli bir parametrik yapı gözlemlenebilir. Örneğin, URL üzerinde, belirli bir değişken isminde, “#” sembolü veya “@” sembolü gibi karakterlerin yer aldığı istekler dikkat çekici olabilir.

Log analizi sırasında, aşağıdaki imzalara (signature) dikkat edilmesi önemlidir:

Parazitik İstekler: OGNL enjeksiyonu gerçekleştiren saldırganlar, genellikle sıradan bir kullanıcı isteklerine benzeyen ama içinde zararlı kod veya sorgular barındıran HTTP istekleri gönderirler. Örneğin, URL içerisinde aşağıdaki gibi yapılar gözlemlenebilir:

   /confluence/wikitext?content=<your_payload>

Burada, <your_payload>, saldırganın kötü niyetli OGNL kodunu temsil eder.

Hata Mesajları: Error log'larda, belirli hata kodlarının (örneğin 500 veya 403) sıkça gözlemlenmesi, bir güvenlik açığının kötüye kullanıldığını gösterebilir. Hata mesajları içerisinde, stack trace bilgileri de dikkatlice incelenmelidir. Bazen bir OGNL enjeksiyonu, sunucunun hata mesajlarıyla karşılaşmasına neden olur.
Tekrar Eden İstekler: Eğer bir IP adresinden sürekli şekilde aynı veya benzeri istekler geliyorsa, bu durumu alarm olarak değerlendirmek gerekir. Kötü niyetli bir saldırgan, savunmasız bir sistemi tespit ederse, sürekli şekilde çeşitli kod enjeksiyonları deneyebilir.
Şüpheli Kullanıcı Arama Terimleri: Log dosyalarında, belirli arama terimlerinin sıkça geçmesi dikkatlice incelenmelidir. Örneğin, 'eval', 'exec', 'system' gibi terimler, RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) teşvik eden alanlarda geçtiğinde alarm verici olabilir.

Bu tür saldırıların erken tespit edilmesi, yalnızca log analizi ile değil, aynı zamanda sistemin genel güvenlik önlemleri ile de sağlanabilir. Güvenlik duvarları ve IDS/IPS sistemleri, şüpheli aktiviteyi daha ilk aşamalarda tespit edebilir. Ayrıca, sistemlerdeki yazılım güncellemelerinin düzenli olarak yapılması, bilinen zafiyetlerin kapatılmasına yardımcı olur.

Siber güvenlik uzmanları için, CVE-2021-26084 gibi zafiyetler karşısında proaktif olmak, sadece mevcut açıkları kapatmakla kalmayıp, aynı zamanda olası kötü niyetli aktiviteleri erken aşamalarda tespit etmek için önemlidir. Sonuç olarak, log analizi ve dikkatli izleme, siber güvenlikte kritik rol oynamaya devam eder ve bu zafiyetler, güncel tehditlerin yalnızca bir parçasıdır.

Savunma ve Sıkılaştırma (Hardening)

Atlassian Confluence Server ve Data Center, iş birliği gereksinimlerini karşılamak üzere yaygın olarak kullanılan bir platformdur. Ne yazık ki, CVE-2021-26084 gibi güvenlik açıkları, saldırganların kötü niyetli eylemler gerçekleştirmesine olanak tanıyabilir. Bu bilinen OGNL (Object-Graph Navigation Language) enjeksiyon açığı, saldırılması halinde bir saldırganın kod yürütmesine (RCE - Remote Code Execution) yol açabilir. Bu nedenle, sistem yöneticilerinin ve güvenlik uzmanlarının Confluence sunucularını korumak için sıkılaştırma önlemleri alması hayati önem taşımaktadır.

Bir OGNL enjeksiyonunun nasıl çalıştığını anlayarak başlayalım. Saldırgan, hedef uygulamanın iç mekanizmalarına sızarak, zararlı OGNL ifadeleri gönderebilir. Bu ifadeler, sistemde yürütülebilir bir kod parçası oluşturarak zararlı eylemleri gerçekleştirir. Örneğin, bir saldırganın, standart bir kullanıcı formuna OGNL kodu ekleyerek, bu kodun arka planda yürütülmesini sağlaması mümkündür.

Böyle bir zafiyetin sonucunda kod yürütebilen bir saldırgan, örneğin veritabanına erişme, veri sızdırma veya sistem üzerinde tam kontrol sağlama gibi kritik riskler yaratabilir. Bu nedenle, ilk adım olarak Atlassian Confluence'ın güncellenmesi önerilir. Üretici firma, bu tür güvenlik açıklarını kapatmak için güncellemeler yayımlamakta ve sistem yöneticilerinin bu güncellemeleri aktif olarak takip etmesi gerekmektedir.

Sıkılaştırma (hardening) uygulamalarında kullanılan alternatif firewall (WAF - Web Application Firewall) kuralları da önemlidir. WAF, OGNL 'nin kötüye kullanılmasını engellemeye yardımcı olabilir. Örneğin, aşağıdaki gibi özel bir kural seti oluşturulabilir:

SecRule REQUEST_URI "@rx /path/to/vulnerable/endpoint" "id:100001, phase:2, deny, msg:'OGNL injection attempt'"

Bu kural, hedef URL'ye yapılan istekleri kontrol eder ve belirli desenlerle eşleşen istekleri reddeder. Ayrıca, URL parametrelerini ve HTTP başlıklarını analiz eden kurallar da eklenmelidir. Örneğin:

SecRule ARGS_NAMES "@rx (.*\{.*\}.*)" "id:100002, phase:2, deny, msg:'Potential OGNL injection'"

Bu tür kurallar, parametrelerin içeriklerini kontrol ederek potansiyel OGNL enjeksiyon girişimlerini tespit eder ve gerektiğinde engeller.

Kalıcı sıkılaştırma önerileri ise, sistemin genel güvenliğini artırmak için alınabilecek önemli önlemleri içermektedir. İlk olarak, kullanıcıların yetkilerini sınırlamak ve sadece ihtiyaç duyulan erişim düzeyi ile sınırlamak oldukça önemlidir. Bu sayede, bir kullanıcının sistemde yapabileceği zararın boyutu minimum seviyeye çekilmiş olur.

İkinci olarak, sunucu üzerinde çalışan yazılımların ve hizmetlerin yalnızca gerekli olanlarla sınırlı tutulması sağlanmalıdır. Gereksiz hizmetlerin kapatılması, potansiyel saldırı yüzeyini azaltarak güvenliği artırabilir. Bunun yanında, tüm iletişimin şifrelenmesi de önerilmektedir. TLS (Transport Layer Security) kullanarak, verilerin aktarım sırasında güvenli bir şekilde korunması sağlanır.

Son olarak, sistem güncellemelerinin ve güvenlik yamalarının zamanında uygulanması ve düzenli güvenlik taramaları yapılması önemlidir. Otomatik yedekleme sistemleri de, herhangi bir veri kaybı durumunda hızlı bir şekilde geri dönüş sağlamak için kritik bir rol oynamaktadır. Tüm bu önlemler, Confluence gibi popüler bir platformda OGNL enjeksiyonunun potansiyel etkilerini en aza indirmeye yardımcı olacaktır.