CVE-2021-26858: Microsoft Exchange Server Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-26858, Microsoft Exchange Server üzerinde bulunan ve uzaktan kod yürütme (Remote Code Execution - RCE) potansiyeline sahip bir zafiyettir. Bu zafiyet, "ProxyLogon" exploit zincirinin bir parçası olarak bilinir ve siber saldırganların sistemlere erişim sağlamalarına olanak tanır. Zafiyetin arka planında, bir Exchange Server üzerinde belirli koşullar oluştuğunda, saldırganların uzaktan göndereceği özel olarak hazırlanmış isteklerle sistemde çalıştırabileceği komutların bulunması yatmaktadır.

Zafiyetin ortaya çıkışı, 2021'in başlarında gerçekleşti. Microsoft, bu zafiyetin sıklıkla istismar edildiğini fark ederek, ilgili yamanın yayınlanmasını sağladı ve kullanıcıların Exchange Server sürümlerini güncellemeleri konusunda acil bir uyarı yapıldı. Bu tür güncellemeler, güvenliği sağlamak adına kritik öneme sahiptir. Ancak, birçok işletme zamanında güncellemeleri yapmadığı için saldırılar gerçekleşti ve bu durum sonuç olarak veri sızıntılarına, sistem bozulmalarına ve kullanıcı verilerinin kötüye kullanımına yol açtı.

CVE-2021-26858 zafiyeti, bir hedefteki Exchange sunucusunun bileşenleri içinde yer alan kimlik doğrulama (Auth Bypass - Kimlik Doğrulama Atlama) mekanizmasındaki bir hatadan kaynaklanmaktadır. Saldırganlar, bu mekanizmayı aşarak yetkisiz bir şekilde sistemin tüm fonksiyonlarına erişim sağlamakta ve bu sayede zararlı komutlar çalıştırabilmektedir. Bu, özellikle kurumların dış iletişimi sağlamak için kullandığı Exchange Server'lar için kritik bir güvenlik açığıdır.

Dünya genelinde birçok sektörde faaliyet gösteren pek çok şirket, bu zafiyetten etkilenmiştir. Özellikle sağlık, finans ve kamu sektörü gibi yüksek öneme sahip verilerin bulunduğu alanlar, siber saldırganların hedef listesine girmiştir. Örneğin, sağlık sektöründeki bir saldırı sonucunda hasta verilerine erişim sağlamak ve bu verilerin satışı, siber suçlular için önemli bir kazanç kaynağı olmuştur. Finans sektöründe ise, müşteri bilgileri ve işlem geçmişleri siber saldırganlar tarafından ele geçirilerek dolandırıcılık faaliyetlerine zemin sağlamıştır.

Gerçek dünya senaryolarında, bir devlet kurumunun veya büyük ölçekli bir kurumun Exchange sunucusunun etkilenmesi, sadece siber güvenlik sorunları yaratmakla kalmaz, aynı zamanda itibar kaybına ve mali zararlara da yol açabilir. Örneğin, bir kamu hizmeti sunan bir kurumun veritabanına sızarak, hizmet verilen bireylerin kişisel bilgilerini çalan bir saldırgan, hem güvenlik ihlali yaratır hem de halka olan güveni zedeler.

Kritik öneme sahip bu zafiyetin istismarı, birçok saldırganın hedeflerine ulaşmasına olanak tanırken, sektörlerdeki siber güvenlik stratejilerinin ve güncelleme politikalarının gözden geçirilmesine sebep olmuştur. Sonuç olarak, CVE-2021-26858 gibi zafiyetler, bilgi güvenliğinin ne kadar hayati bir önem taşıdığını ve her zaman güncel kalmanın gerekliliğini gözler önüne sermektedir. Saldırılara karşı hazırlıklı olmak için, tüm sistemlerin düzenli olarak denetlenmesi ve güvenlik güncellemelerinin aksatılmadan yapılması kritik bir unsur olmaktadır.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Exchange Server, pek çok işletmenin e-posta yönetimini üstlendiği kritik bir platformdur. Ancak, CVE-2021-26858 olarak bilinen uzaktan kod yürütme (RCE) zafiyeti, siber tehdit aktörlerini hedef alarak sistemlere sızmalarına olanak sağlamaktadır. Bu zafiyet, ProxyLogon exploit zincirinin bir parçası olarak öne çıkmaktadır ve dikkatli bir şekilde ele alınması gereken bir tehdit oluşturmaktadır.

CVE-2021-26858 zafiyeti, kimlik doğrulama bypass (yetkilendirme atlatma) sorununu kullanarak bir uzaktan saldırganın, Exchange Server üzerinde yetkisiz komutlar çalıştırmasına imkan tanır. Saldırganlar, bu zafiyeti istismar ederek sistem üzerinde kontrol elde edebilir ve veri çalmak veya sistemleri ele geçirmek için çeşitli yöntemler kullanabilir.

Sömürü süreci, birkaç aşamadan oluşmaktadır:

Hedef Sunucunun Bilgilerini Toplama: Saldırganın hedef ağda bir Exchange Server bulması ile başlar. Saldırgan, kurumsal ortamda yer alan sunucular ve IP adresleri hakkında bilgi toplamak için çeşitli araçlar kullanabilir. Burada, "nmap", "netcat" gibi araçlar ile sunucu portlarının taranması faydalı olacaktır.
Zafiyetin Onaylanması: Hedef sunucuda CVE-2021-26858 zafiyetinin mevcut olup olmadığını tespit etmek için, saldırganın belirli HTTP istekleri göndermesi gerekir. Örneğin:

   POST /ecp/streaming.ashx
   Host: targetserver.com
   Content-Length: 80
   Data: { "event": "ping" }

Yukarıdaki istek, sunucunun olası bir zafiyet barındırıp barındırmadığını anlamaya yardımcı olur.

Payload Hazırlama: Saldırgan, zafiyeti istismar etmek için bir payload (yük) oluşturur. Bu payload, uzaktan kod çalıştırabilen bir komut içerir. Aşağıda, basit bir Python taslağı verilmiştir:

   import requests

   url = "http://targetserver.com"
   payload = {"cmd": "whoami"}

   response = requests.post(url, json=payload)
   print(response.text)

Bu kısımda, hedef sunucu üzerinde whoami komutunu çalıştırarak mevcut kullanıcıyı öğrenmeye yönelik bir istek yapılmaktadır.

İstismar: Hedef sunucuda zafiyet doğrulandıktan ve prepare edilmiş payload uygulandıktan sonra, saldırgan uzaktan kod çalıştırwormaya başlayabilir. Örnek bir exploit istek örneği:

   POST /api/endpoint
   Host: targetserver.com
   Content-Type: application/json
   {
     "payload": "your_malicious_code_here"
   }

Sonuçların Ele Geçirilmesi ve Kapatılması: Saldırgan, başarıyla kamusal olmayan bir bilgiye eriştikten sonra, bu bilgiyi kötüye kullanabilir. Bu aşamada, elde edilen veri ile güvenlik açıklarını değerlendirmek için analiz yapılır.

CVE-2021-26858 zafiyeti, sadece tek bir sorun olarak kalmamaktadır. Zafiyetin istismar edilmesi, kurumsal ağlar için ciddi riskler doğurabilir. Bu sebeple, sistem yöneticilerinin, Microsoft'un kaynaklarından güncellemeleri takip etmesi ve gerekli yamaları uygulaması büyük önem taşımaktadır. Ayrıca, sistemlerinizi sürekli olarak gözden geçirmek ve gerekli güvenlik önlemlerini almak, bu tür tehditlerin önüne geçmek için kritik olacak.

Unutmayın, siber güvenlik alanında çalışmak, etik kurallar çerçevesinde kalmayı ve mümkün olan en iyi yöntemlerle sistemleri korumayı gerektirir. Black Hat hacker'lar gibi kötü niyetli kişilerden uzak durmak ve kurumsal altyapılarınızı korumak için çabalarımızda daima dikkatli olmalıyız.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Exchange Server üzerinde keşfedilen CVE-2021-26858 zafiyeti, siber güvenlik alanında önemli bir tehdit oluşturmaktadır. Bu zafiyet, uzaktan kod yürütmeye (Remote Code Execution - RCE) olanak tanıyarak saldırganların sistem üzerinde kontrol sağlamasına olanak tanır. Özellikle ProxyLogon exploit zinciri içinde yer alması, bu zafiyetin daha karmaşık saldırı senaryolarına kapı açtığı anlamına gelmektedir. Bu noktada, forensics (adli bilişim) ve log analizi uygulamalarının önemi bir kat daha artmaktadır.

CVE-2021-26858’in direkt etkilediği Microsoft Exchange Server, pek çok kuruluşun e-posta hizmetleri için merkezi bir yapı olarak görev yapmaktadır. Saldırganlar bu zafiyeti kullanarak, sistemden hassas veriler elde edebilir, kötü amaçlı yazılımlar yükleyebilir veya sistemin tamamen kontrolünü ele geçirebilirler. Özellikle, sistem yöneticileri için bu tür güvenlik açıklarının farkında olmak ve etkili bir şekilde müdahale edebilmek hayati önem taşımaktadır.

Siber güvenlik uzmanları, sistemlerin güvenliğini sağlamak adına çeşitli log dosyalarını inceleme ihtiyacı duyar. SIEM (Security Information and Event Management) çözümleri, log dosyalarının merkezi bir yerde toplanmasını ve analize tabi tutulmasını sağlayarak bu süreci kolaylaştırır. Microsoft Exchange Server’a yönelik saldırıların tespiti için öncelikle aşağıdaki log türlerine odaklanmak önemlidir: Access log (erişim logu), error log (hata logu) ve sistem logları.

Bir siber güvenlik uzmanı, CVE-2021-26858 türündeki bir saldırının varlığını tespit ederken aşağıdaki imzalara (signature) dikkat etmelidir:

HTTP İstekleri Üzerinde Anomali Tespiti: Saldırganlar genellikle belirli bir endpoint’e (uç nokta) aşırı sayıda bağlantı kurarak ya da anormal sorgulamalar yaparak zafiyeti hedef alabilirler. Örneğin, POST /ecp/Canary veya benzer anormal HTTP istekleri loglarda görünmelidir.
Yetki Aşımı İzleme: Saldırganların, kimlik doğrulama bypass (yetki aşımı) yaparak sistemdeki verilere ulaşması durumunda, sistem loglarında beklenmeyen oturum açma denemeleri, hata kodları veya şüpheli kullanıcı aktiviteleri gözlemlenmelidir.
Kötü Amaçlı Yazılım İndirme Gösterimleri: Kurulu Exchange Server üzerinde, bilgisayarın kötü amaçlı yazılımla (malware) enfekte olduğuna dair bulgulara rastlamak mümkündür. Loglarda, sistem dışından gelen ve riski artıran dosyaların indirilmesiyle ilgili kayıtların yer alıp almadığı kontrol edilmelidir.
Hatalı Erişim Kayıtları: Exchange Server üzerinde zafiyet oluşturabilen hatalı erişim kayıtları, saldırının izlerine işaret eder. Özellikle, belirli bir zaman aralığında artan hata sayıları, sistem yöneticilerini uyarıcı bir işaret olmalıdır.

GET /ecp/Canary
HTTP/1.1 401 Unauthorized

Bu tür sahte isteklerin ve sonuçlarının belirlenmesi, potansiyel tehditleri önceden tespit etmek için kritik bir adımdır.

Unutulmamalıdır ki, bir güvenlik açığını takiben yalnızca log analizine güvenmek yeterli değildir. Güvenlik güncellemelerinin uygulanması, sistemlerin gerçek zamanlı izlenmesi ve gerektiğinde proaktif müdahale yapılması, zararlı etkinliklerin önlenmesi adına hayati öneme sahiptir. Forensic teknikleri ve log analiz yöntemleri, sadece saldırı sonrası durumu düzeltme amacıyla değil, aynı zamanda olası tehditlerin önceden tahmin edilmesi için de kullanılmalıdır. Bu nedenle, her siber güvenlik uzmanının güncel tehditlere karşı güçlü bir önlem alması gerekmektedir.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Exchange Server, organizasyonların e-posta iletişimini ve takvim yönetimini sağlamak için yaygın olarak kullandığı bir platformdur. Ancak, 2021 yılında ortaya çıkan CVE-2021-26858 zafiyeti, bu sistemin güvenliğini ciddi anlamda tehdit eden bir durumdur. Söz konusu zafiyet, uzaktan kod yürütme (Remote Code Execution - RCE) yeteneklerine sahip olup, siber saldırganların Exchange sunucularını hedef alarak kötü niyetli yazılımlar yüklemesine olanak tanır. Bu durum, hem verinin güvenliği hem de organizasyonun itibarını zedeleyebilir.

CVE-2021-26858, ProxyLogon exploit zincirinin bir parçası olarak tanımlanmıştır ve bu, potansiyel olarak yüzlerce Exchange sunucusunu etkileyebilmektedir. Saldırganlar, bu tür bir açığı kullanarak kimlik doğrulama atlaması (Auth Bypass) gerçekleştirebilir ve karşı tarafta tam yetki ile hareket edebilir. Gerçek dünya senaryolarında, bir siber saldırganın sisteminize girdiğini ve hassas verilerinizi çalmaya ya da sisteminizi felç etmeye çalıştığını varsayalım.

Bu nedenle, Microsoft Exchange Server için alınacak savunma tedbirleri büyük bir önem taşımaktadır. Öncelikle, Exchange sunucularınızın güncel sürümde olup olmadığını kontrol edin ve gerekli güncellemeleri uygulayın. Microsoft, bu güvenlik açığını kapatmak için kritik yamalar yayınlamıştır. Güncel versiyonlara geçiş yapmak, zafiyetin etkilerini ortadan kaldırmanın en etkili yoludur.

Alternatif bir savunma katmanı olarak, Web Uygulama Güvenlik Duvarı (Web Application Firewall - WAF) kullanmayı düşünebilirsiniz. WAF, belirli HTTP isteklerini filtreleyerek, zararlı trafiği tespit edip engelleyebilir. WAF kurallarınızı aşağıdaki gibi belirleyebilirsiniz:

# WAF kural önerileri
# 1. SMTP ve EWS trafiğini sınırlama
SecRule REQUEST_METHOD "POST" "id:1000,phase:2,deny,status:403"
SecRule REQUEST_URI "@rx /owa/auth/x509validator" "id:1001,phase:2,deny,status:403"
# 2. Sadece güvenilir IP adreslerinden gelen istekleri kabul etme
SecRule REMOTE_ADDR "@ipMatch 192.168.1.0/24" "id:1002,phase:1,allow"
SecRule REMOTE_ADDR "!@ipMatch 192.168.1.0/24" "id:1003,phase:1,deny,status:403"

Bu tür kurallar, sisteminize yapılacak olası kötü niyetli istekleri engelleyerek zafiyetin suistimal edilmesini önlemeye yardımcı olur. Ayrıca, sisteminizin her zaman güncel olduğundan emin olmalısınız. Güvenlik güncellemeleri ve yamalar, sisteminizin savunma mekanizmasını sürekli güçlendirir.

Kalıcı sıkılaştırma önerileri arasında, gereksiz hizmetlerin devre dışı bırakılması, güçlü kimlik doğrulama yöntemlerinin uygulanması ve erişim loglarının düzenli olarak izlenmesi bulunur. Ayrıca, her bir kullanıcı için minimum yetki prensibini benimsemek, sisteminize yapılan saldırıların etkisini azaltabilir. Kullanıcıların yalnızca ihtiyaç duydukları yetkilere sahip olmaları, potansiyel siber saldırıların önlenmesinde kritik bir rol oynar.

Son olarak, siber güvenlik bilincini artırmak amacıyla çalışanlarınıza düzenli eğitimler vermek, organizasyon içindeki genel güvenlik duruşunu güçlendirir. Bireysel olarak her çalışanın daha bilinçli ve dikkatli davranması, sisteminizin güvenliğini artıracaktır. Unutulmamalıdır ki, herhangi bir güvenlik açığına karşı en iyi savunma, önleyici tedbirleri almak ve sisteminizi sürekli gözlem altında tutmaktır.