CVE-2021-26855: Microsoft Exchange Server Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-26855, Microsoft Exchange Server'da bulunan ve kötü niyetli aktörlerin uzaktan kod yürütmesine (Remote Code Execution – RCE) olanak tanıyan kritik bir güvenlik açığıdır. Bu zafiyet, 2021 yılının başlarında ortaya çıkmış ve zamanla ProxyLogon exploit zincirinin bir parçası haline gelmiştir. Özellikle, bu güvenlik açığı, kötü niyetli kullanıcıların Exchange Server üzerinde yetkisiz erişim sağlamasına ve sistemde uzaktan komutlar çalıştırmasına olanak tanımaktadır.

Bu zafiyetin temel nedeni, Exchange Server'ın istemciyle sunucu arasındaki kimlik doğrulama süreçlerinde karşı karşıya kaldığı bir yanlış yapılandırmadır. Microsoft, Exchange Server’ı etkileyen bu açığın arka planda kullanılan kütüphanelerdeki hataları detaylandırarak, saldırganların etkin bir şekilde Exchange’a giriş yapmalarına izin verdiğini ortaya koymuştur. Özellikle, bu zafiyetin kullanıcı kimlik doğrulama bypass (Auth Bypass – Kimlik Doğrulama Atlatma) ile kolayca istismar edilebileceği göz önüne alındığında, sistem yöneticilerinin durumu acilen ele almaları gerektiği anlaşılmaktadır.

Zafiyetin etkileri oldukça geniş çaplıdır. Hem özel sektörde hem de kamu alanında çeşitli kuruluşlar, bu açığın etkisiyle karşı karşıya kalmıştır. Özellikle sağlık sektörü, finans, eğitim ve geliştirici toplulukları gibi kritik alanlar, bu açığın istismarı sonucunda büyük zarar gördü. Saldırganlar, güvenlik zafiyetini kullanarak sisteme sızmış ve önemli verileri ele geçirmiş veya sistemin işleyişini bozan zararlı yazılımlar (malware) yüklemişlerdir. Örneğin, bir hastane, Exchange sunucusundaki bu açığı kullanarak verilerine erişim sağlayan saldırganlar nedeniyle ciddi bir veri kaybı yaşadı.

Gerçek dünyada zafiyetin nasıl istismar edildiğine dair birkaç örnek vermek gerekirse, Kötü niyetli aktörler, Exchange Server'ı hedef alarak e-posta hesaplarına erişim sağlayabiliyor, kullanıcıların özel bilgilerini çalıyor ve sonrasında bu bilgileri fidye talepleri için kullanabiliyorlardı. Bu tür olaylar, özellikle büyük kurumlar ve devlet kuruluşları için ciddi bilgi güvenliği sorunlarına yol açmakta ve çalışanların iş akışını tehdit etmektedir.

Buna ek olarak, CVE-2021-26855 zafiyeti, dünyada yaygın olarak kullanılan diğer güvenlik teknolojilerinin de gözden geçirilmesine neden olmuştur. Güvenlik uzmanları, Exchange Server üzerindeki bu tür zafiyetlerin önlenmesi amacıyla, yazılım güncellemelerinin ve düzeltmelerinin önemi vurgulamışlardır. Aynı zamanda, organizasyonların güvenlik düzeylerini artırmak için gelişmiş izleme ve yanıt sistemlerinin entegrasyonunu sağlamaları önem arz etmektedir.

Zafiyetle ilgili daha fazla teknik detay sunmak gerekirse, bu güvenlik açığı, özellikle eşzamanlı bağlantılar sırasında bilgi akışını manipüle etme yeteneğine dayanmaktadır. Saldırganlar, sunucuya gönderilen istekleri değiştirebilir ve bu sayede sunucunun beklenmeyen bir şekilde yanıt vermesine sebep olabilir. Bu tür istismarlar, sistemin mevcut güvenlik duvarlarını aşmasını ve güvenlik protokollerini ihlal etmesini sağlar.

Sonuç olarak, CVE-2021-26855, Microsoft Exchange Server üzerindeki ciddi bir zafiyettir ve dünya genelindeki bir dizi sektörü etkilemiştir. Kuruluşların bu tür zafiyetleri önleyici tedbirler almaları ve araçlarını sürekli güncel tutmaları, siber güvenlik risklerini azaltmada büyük rol oynamaktadır.

Teknik Sömürü (Exploitation) ve PoC

CVE-2021-26855, Microsoft Exchange Server üzerinde keşfedilen önemli bir uzaktan kod yürütme (RCE) zafiyetidir. Bu zafiyet, saldırganların kimlik doğrulamasını atlayarak Exchange sunucularında uzaktan kod çalıştırmasına olanak tanır. ProxyLogon exploit zinciri içinde önemli bir yer tutmaktadır. Bu yazıda, bu zafiyetin nasıl istismar edilebileceğine dair teknik bir bakış açısı sunulacak ve gerçek dünya senaryolarıyla derinlemesine incelenecektir.

CVE-2021-26855’in tek başına nasıl istismar edileceğinin anlaşılabilmesi için öncelikle temel adımları belirlemek önemlidir. Açık bir Exchange sunucusuna erişiminiz varsa, aşağıdaki aşamaları takip ederek bu zafiyetten faydalanabilirsiniz.

İlk adım, hedef Exchange sunucusunun IP adresini veya alan adını belirlemektir. Bu bilgileri topladıktan sonra, sunucunun güncel olup olmadığını kontrol etmeniz önemlidir. Eğer hedef sunucu güncellenmemişse ve Microsoft'un resmi düzeltmeleri uygulanmamışsa, zafiyeti istismar etme şansınız yüksek olacaktır.

İkinci adım, HTTP istekleri göndermektir. Bu süreçte, hedef sunucuya şu şekilde bir POST isteği gönderebilirsiniz:

POST /ecp/api/v1.1/auth/2step/enable HTTP/1.1
Host: target_exchange_server.com
Content-Type: application/json
X-Common-Request-ID: <random_id>

{
  "username": "<user>",
  "password": "<password>"
}

Bu istekle, hedef sunucuya kimlik doğrulaması atlama girişiminde bulunulmaktadır. Sunucunun yanıtındaki durum kodu 200 ise, bu zafiyetin aktif olduğu anlamına gelir ve sonraki aşamaya geçebilirsiniz.

Üçüncü adım, zafiyeti kullanarak uzaktan komut çalıştırmaktır. Saldırgan, hedef sisteme zararlı bir komut göndermek üzere aşağıdaki gibi bir HTTP isteğini kullanabilir:

POST /owa/auth.owa HTTP/1.1
Host: target_exchange_server.com
Content-Type: application/json

{
  "command": "powershell -ExecutionPolicy Bypass -NoProfile -Command \"CEKİLEN_KOMUT\""
}

Burada, "CEKİLEN_KOMUT" ifadesi, hedef sunucuda çalıştırılmak istenen zararlı komut ile değiştirilmelidir.

Sonraki aşama, sunucuyanıtını analiz etmektir. Eğer sunucu, gönderdiğiniz komutun başarısız olduğuna dair bir yanıt vermezse, büyük olasılıkla komut başarıyla yürütülmüştür. Sunucunun yanıtında çıkarılması gereken bilgilere bağlı olarak, bu aşamada ek adımlar atanabilir.

Bu sürecin sonunda, zafiyeti istismar ederek hedef sistem üzerinde tam yetki kazanmış olacaksınız. Ancak unutmayın ki, bu tür bilgilere erişiminiz yasal sınırlar dahilinde olmalıdır ve etik hackerlık (White Hat Hacker) kurallarına uygun olarak hareket etmelisiniz.

Zafiyetin istismar edilmesi sırasında dikkat edilmesi gereken bir diğer nokta, hedef sistemin izleme ve güvenlik önlemleridir. Birçok kurum, kötüye kullanım faaliyetlerini tespit edebilmek için çeşitli güvenlik sistemleri ve izleme araçları kullanmaktadır. Bu nedenle, istismar sürecini dikkatli bir şekilde yönetmek ve gerekli önlemleri almak önemlidir.

CVE-2021-26855, Microsoft Exchange Server üzerinde bulunan kritik bir uzaktan kod yürütme zafiyetidir ve etkili bir siber saldırı için kullanılabilir. Zayıf sistemlerin hedef alınması, güvenlik açıklarını kapatma ihtiyacını gündeme getirir. Bu süreçte, her zaman etik kurallara bağlı kalmak ve gerekli izinleri almak gerektiğini unutmamalısınız.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Exchange Server üzerinde tespit edilen CVE-2021-26855 zafiyeti, kötü niyetli kişilerin sisteminize uzaktan kod yürütme yeteneği kazanmalarına olanak tanır. Bu durum, siber saldırılara karşı kırılganlık yaratır ve önemli verilerinizi tehlikeye atar. Bu tür bir zafiyeti etkili bir şekilde analiz etmek ve izlemek için, siber güvenlik uzmanlarının belirli loglar üzerinde dikkatli bir şekilde inceleme yapmaları gerekir.

Adli bilişim (forensics) ve log analizi, saldırıların tespit edilmesi ve araştırılması açısından kritik öneme sahiptir. Siber güvenlik uzmanları, Microsoft Exchange Server loglarını inceleyerek CVE-2021-26855 zafiyetinin kullanılıp kullanılmadığını belirleyebilir. İlk olarak, Exchange'e ait log dosyalarını analiz etmek için doğru kaynaklara yönelmelisiniz. Access logları (erişim logları) ve error logları (hata logları), kötü niyetli faaliyetlerin izini sürmek için önemli araçlardır.

Gerçek dünya senaryosu olarak, bir kuruluşunuzdaki Exchange Server üzerinde CVE-2021-26855 zafiyetinin istismar edildiği düşünüldüğünde, uzmanlar aşağıdaki imzaları (signatures) kontrol etmelidir:

1. HTTP İstekleri: Kötü niyetli bir saldırgan, Exchange Server üzerindeki zafiyeti kullanarak belirli HTTP istekleri yapacaktır. Bu isteklerde, genellikle anomaliler gözlemlenebilir. Örneğin, kullanıcıdan gelen normal HTTP yöntemlerinin dışında, 'POST' isteklerinin miktarında ani bir artış olursa dikkat çekmelidir. Aşağıdaki kodda, isteklerin nasıl analiz edileceğine dair bir örnek verilebilir:

   grep "POST" access.log | less

2. Olağandışı IP Adresleri: Loglarda yer alan istemci IP adresleri dikkatlice incelenmelidir. Bilinmeyen veya olağandışı IP adreslerinden gelen istekler, potansiyel olarak kötü niyetli bir girişimi işaret edebilir.

3. Başlık (Header) Bilgileri: İstek başlıklarında "X-Zap" gibi olağandışı değerler bulunup bulunmadığı kontrol edilmelidir. Bu tür başlıklar, genellikle saldırganların sistemde gerçekleştirmek istediği özel isteklerdir.

4. Hata Mesajları: Error logları, Exchange Server’da meydana gelen hataların kaydedildiği alanlardır. Burada, "400 Bad Request" gibi tekrarlayan hata mesajları dikkatlice incelenmelidir. Bu tür mesajlar, sistemin normal işleyişinde bir aksaklık olduğunun göstergesi olabilir.

5. Olay Günlükleri: SIEM (Güvenlik Bilgisi ve Olay Yönetimi) çözümleri kullanarak olay günlükleri taranmalıdır. Burada, belirli bir zaman diliminde artan oturum açma denemeleri veya abnormal davranışlar gözlemlenmelidir.

Bunların yanı sıra, siber güvenlik uzmanları, Exchange Server uygulamalarındaki herhangi bir yetkilendirme atlatma (Auth Bypass) girişimini veya anormal kullanıcı davranışlarını da takip etmelidir. Örneğin, bir kullanıcının normalde erişmediği verilere erişmesi veya erişim izinleri dışında işlem yapması şüphe uyandırabilir.

Sonuç olarak, CVE-2021-26855 zafiyetinin tespit edilmesi, derinlemesine log analizi ve iyi tanımlanmış imzaların (signatures) kontrol edilmesine dayanır. Siber güvenlik uzmanlarının, bu tür teknik detayları dikkate alarak sistemlerini korumak için aktif bir izleme ve analiz yaklaşımı benimsemeleri gerekmektedir. Unutulmamalıdır ki, adli bilişim ve log analizi, potansiyel saldırıların tespiti için kritik bir rol oynar.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Exchange Server, geniş bir kullanıcı tabanına sahip olması sebebiyle, hedef alınması kolay bir platformdur. CVE-2021-26855 olarak bilinen uzaktan kod çalıştırma (Remote Code Execution - RCE) zafiyeti, özellikle ProxyLogon exploit zincirinin bir parçası olduğu için siber saldırganlar tarafından yoğun bir şekilde istismar edilmiştir. Bu zafiyetin varlığı, Exchange Server ortamındaki tehlikeleri artırmaktadır. Bu nedenle, bu açığın kapatılması ve sistemin sıkılaştırılması hayati önem taşımaktadır.

Zafiyetin temelinde, Microsoft Exchange Server'ın doğru bir şekilde kimlik doğrulama yapmadığı durumlar yer almaktadır. Saldırganlar, bu zafiyeti kullanarak hedef sistemde uzaktan kod çalıştırabilir ve bu durum potansiyel olarak tüm organizasyonun güvenliğini tehlikeye atabilir. Bunu önlemek için öncelikle, güncellemelerin ve yamaların uygulanması gerekmektedir. Microsoft, bu zafiyeti kapsayan güncellemeleri yayınladığı için, sistem yöneticilerinin bu güncellemeleri derhal uygulaması önerilmektedir.

Ayrıca, kurumsal güvenlik duvarı (firewall) ve web uygulama güvenlik duvarı (WAF) kullanımı son derece önemlidir. WAF kuralları, kötü niyetli trafiği tespit edip engelleyebilir ve sistemlerinizi koruma altına alabilir. Örneğin, aşağıdaki gibi bir WAF kuralı oluşturulabilir:

SecRule REQUEST_HEADERS:User-Agent "@contains evilUserAgent" "id:12345, phase:1, deny, log, status:403"

Bu örnekte, kötü amaçlı bir kullanıcı aracısı (user agent) içeren istekler tespit edilecektir. Bu şekilde, bilinen kötü niyetli isteklerin engellenmesi sağlanabilir.

Bunun yanı sıra, sistem sıkılaştırma ve savunma stratejileri geliştirilmelidir. İlk olarak, tüm gereksiz hizmetlerin kapatılması ve gereksiz portların kapatılması önerilir. Örneğin, Exchange Server üzerinde yalnızca gerekli olan portların açık olması sağlanmalıdır:

# Gereksiz portları kapatmak için
sudo ufw deny 25
sudo ufw deny 587

Ayrıca, Exchange Server üzerinde güçlü bir kimlik doğrulama mekanizması uygulanmalıdır. Çok faktörlü kimlik doğrulama (MFA) kurulumu, sisteminize ekstra bir güvenlik katmanı ekler ve saldırganların kimlik bilgilerini ele geçirmeleri durumunda bile sisteme erişimlerini zorlaştırır.

Bunların yanında, düzenli güvenlik taramaları ve sızma testleri (penetration testing) yapılmalıdır. Bu testler, földer yangınından etkilenmemek için sistem güvenlik açıklarını tespit etmede yardımcı olabilir. Bulunan zafiyetler için hemen düzeltici önlemler alınmalı ve belgelenmelidir.

Son olarak, Exchange Server üzerinde log yönetimi ve izleme sistemlerinin aktif olması gerekir. Bu sistemler, olası kötü amaçlı aktiviteleri erken tespit etme ve yanıt verme yeteneği sağlar. Log kayıtları düzenli olarak incelenmeli ve şüpheli aktiviteler raporlanmalıdır.

Sonuç olarak, CVE-2021-26855 zafiyetini kapatmak için yukarıda belirtilen teknik detaylara uygun adımlar atılmalıdır. Güvenlik, sürekli bir süreçtir ve sistemlerin güncel tutulması ile birlikte proaktif yaklaşımlar geliştirilmeden sağlanamaz. Siber saldırganlar hızla yeni teknikler geliştirdiği için, güvenlik önlemlerinin sürekli gözden geçirilmesi ve güncellenmesi şarttır.