CVE-2021-33044: Dahua IP Camera Authentication Bypass Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Daha önce de bahsedilen CVE-2021-33044, Dahua IP kameralarının (Dahua IP Cameras) bir oturum açma (authentication) bypass (yetki aşımı) açığını barındırdığını göstermektedir. Bu zafiyet, kötü niyetli bir kullanıcının, NetKeyboard türü argümanını kullanarak kimlik doğrulama sürecini atlamasına olanak tanır. Daha açık bir ifadeyle, doğru bir kimlik bilgisi sağlamadan cihaza erişim sağlayabilmektedir. Bu tarz bir zafiyeti anlamak, sızma testleri (penetration testing) veya ağ güvenliği analizi (network security analysis) gerçekleştiren beyaz şapkalı hackerlar (white hat hackers) için oldukça önemlidir.

Zafiyetin tarihine dönecek olursak, CVE-2021-33044, 2021 yılında keşfedilmiş ve çok geçmeden Dahua tarafından düzeltilmemiş bazı IP kameralarında güvenlik güncellemeleri ile birlikte ele alınmıştır. Bu zafiyet, Dahua'nın IP kameralarının ağ üzerindeki diğer cihazlarla olan iletişiminde, istemcinin (client) belirttiği NetKeyboard tip argümanının doğru bir şekilde işlenmemesi nedeniyle ortaya çıkmaktadır. DOT (Dahua Open Technology) kütüphanesindeki bir hata, bu tür bir kimlik doğrulama mekanizmasının aşılamasına yol açmıştır ve kötü niyetli kullanıcılara kameralar üzerinde kontrol sağlama imkanı sunmuştur.

Dünya genelinde, bu zafiyet çeşitli sektörleri etkilemiştir. Özellikle güvenlik endüstrisinde, kurumsal yapılar ve bireysel kullanıcılar arasında pek çok IP kamera kullanıcısı bulunmaktadır. Özellikle izleme sistemleri, güvenlik şirketleri ve kamu güvenlik projeleri bu tür araçlar kullanmaktadır. Zafiyetin varlığı, güvenlik kameralarının sağladığı korumayı tehlikeye atmakta ve çeşitli güvenlik ihlallerine yol açmaktadır.

Gerçek dünya senaryosunda, bu tür bir açığın nasıl istismar edilebileceğini düşünelim. Kötü niyetli bir hacker, bir güvenlik kamerasının yanı başında bir yere gizlice yerleşebilir. Hacker, cihaza bağlanarak doğru kimlik bilgisi girmediği halde kamera görüntülerini izleyebilir ya da kaydedebilir. Bu tür bir saldırının sonuçları oldukça ciddi olabilir; bu durum yalnızca maddi kayıplar değil, aynı zamanda kişisel gizlilik ihlalleri ve güvenlik tehditleri oluşturmalaktadır.

Teknik olarak ele alındığında, bu tür zafiyetlerin çözümü, üreticinin yazılım güncellemeleri aracılığıyla sağlanmalıdır. Kullanıcıların da, hangi sürümün güncel olduğunu kontrol etmeleri ve mümkün olduğunda güncellemeleri uygulamaları büyük bir gerekliliktir. Dahua, bu zafiyeti en kısa sürede düzeltmiş ve kullanıcılarına güvenlik güncellemelerini tavsiye etmiştir. Ancak, bu tür zafiyetlerin bir daha meydana gelmemesi için güvenlik farkındalığının artırılması ve siber güvenlik eğitimlerinin yaygınlaştırılması da oldukça önemlidir.

Sonuç olarak, CVE-2021-33044 zafiyetinin etkilerinin sadece teknik sınırlarda kalmadığını, aynı zamanda sosyal ve etik sorunlara da yol açtığını belirtmek gerekmektedir. Aynı zamanda, bu tür zafiyetlerin en iyi şekilde yönetilmesi için sürekli bir görünürlük ve güncellemeler gereklidir. Bir beyaz şapkalı hacker olarak, bu tür zafiyetlere karşı sürekli tetikte olmak, sağlayıcı geçmişlerini incelemek ve güçlü güvenlik önlemleri almak son derece kritiktir.

Teknik Sömürü (Exploitation) ve PoC

Dahua IP kameralarında bulunan CVE-2021-33044 zafiyeti, bu cihazların güvenlik açıklarını istismar ederek yetkilendirme aşamasını bypass (atlama) etme potansiyeline sahiptir. Bu tür bir zafiyet, saldırganların yetkisiz erişim elde etmesine ve bu cihazlar üzerinden kötü amaçlı eylemler gerçekleştirmesine olanak tanır. Dahua IP kameraları, geniş bir kullanıcı kitlesi tarafından kullanılmakta olup, bu zafiyetin varlığı ciddi güvenlik sorunlarına yol açabilir.

Bu zafiyeti istismar etmek için adım adım bir süreç izlenebilir. İlk adım olarak, hedef sistemin ağda tanımlanması gerekmektedir. Hedef IP kamerayı tespit etmek için basit bir port taraması yapılabilir. Bu aşamada, Nmap gibi araçlar kullanılabilir. Örneğin:

nmap -p 80,443,554 &lt;Hedef-IP&gt;

Port taraması sonucu, hedef IP adresteki açık portlar belirlenir. Genellikle Dahua IP kameraları 80 (HTTP) ve 554 (RTSP) portlarını kullanmaktadır.

Hedef IP kamerası tespit edildikten sonra, HTTP istekleri kullanarak yetkilendirme bypass işlemine geçilebilir. CVE-2021-33044 zafiyeti, NetKeyboard türündeki argümanların kullanılmasıyla tetiklenmektedir. Burada önemli olan, saldırganın yetki kontrolü gerçekleştiren modülü atlatabilmesidir. Aşağıda bir HTTP isteği örneği yer almaktadır:

POST /cgi-bin/kerberos.cgi HTTP/1.1
Host: &lt;Hedef-IP&gt;
Content-Type: application/x-www-form-urlencoded

NetKeyboard=&lt;yetkisiz-argüman&gt;

Yukarıda yer alan örnekte, NetKeyboard parametresi sarkıntılık yapmak için istenmeyen bir değere sahiptir. Bu istek, hedefin yetkilendirme mekanizmasını atlayarak, saldırgana yönetim paneline erişim sağlar.

Doğru bir şekilde korumaya alınmamış bir Dahua IP kameranın arayüzü, bu tür bir isteğe yanıt olarak açılabilir. Yanıt olarak, örneğin bir yönetici paneli sunulabilir. Burada elde edilen ilk bağlantı, cihazda daha fazla bilgi toplamak için kullanılabilir. Saldırgan, bu aşamada firmware güncellemelerini kontrol edebilir, kameranın yapılandırmasını gözden geçirebilir veya diğer zararlı eylemler gerçekleştirebilir.

Her ne kadar bu zafiyetin kötüye kullanımına dair bilgiler verilirken dikkatli olunması gerektiği vurgulanmalıdır; ancak bu tür bilgi paylaşımı, sistemlerin nasıl korunacağına dair anlayış sağlamaktadır. Dahua IP kameralarının bu tür tehditlere karşı korunması için sürekli güncellemeler yapılması, ağ güvenliğinin artırılması ve cihazların varsayılan şifrelerinin değiştirilmesi gerekir. Son olarak, zafiyeti yasal yollarla test eden etik hackerların belirli kurallar çerçevesinde hareket etmesi, sistemlere zarar vermeden güvenlik açığı analizleri gerçekleştirmesi, siber güvenlik alanında önemli bir yere sahiptir.

Sonuç olarak, CVE-2021-33044 zafiyeti, internet üzerinden erişilen IP kameraların güvenliğinin sorgulanmasına neden olan bir durumdur. Etik hackerlar, bu tür zafiyetleri belirleyip, sistemleri güvenli hale getirmek için çalışarak, kullanıcıların ve organizasyonların bu tür tehlikelerden korunmasına yardımcı olmaktadır.

Forensics (Adli Bilişim) ve Log Analizi

Dahua IP kamera sistemlerinde bulunan CVE-2021-33044 açık güvenlik açığı, yetkilendirme atlatma (authentication bypass) zaafiyeti olarak tanımlanabilir. Bu tür açıklar, siber güvenlik uzmanları için taşıdığı riskler nedeniyle son derece kritik bir konudur. Bu makalede, bu zaafiyetin keşfi, etkileri ve bir siber güvenlik uzmanının saldırıyı nasıl tespit edebileceği hakkında bilgi vereceğiz.

Dahua IP kameraları üzerine yapılan saldırılarda, saldırganlar NetKeyboard tip argümanı üzerinden yetkilendirme bypass (yetkilendirme atlatma) gerçekleştirir. Bu tür bir saldırı, genellikle sistemdeki zayıf yönlerin veya hataların sonuçları olarak meydana gelir. Gerçek dünyada, bir saldırganın, iç ağda bu IP kameralarına erişim sağlamak üzere, belirli bir kimlik bilgisi olmaksızın cihazı kontrol altına alması mümkündür. Örneğin, bir güvenlik araştırmacısı, bu açığı kullanarak yönetici arayüzüne erişim sağlarsa, görüntü akışını izleyebilir veya kameranın ayarlarını değiştirebilir.

Daha önce belirttiğimiz gibi, bu tür bir saldırıyı önlemenin en etkili yolu, güvenlik log analizi (log analysis) gerçekleştirmektir. SIEM (Security Information and Event Management) çözümleri, güvenlik olaylarının gerçek zamanlı olarak izlenmesine ve analiz edilmesine yardımcı olur. Bir siber güvenlik uzmanı, bu tür bir açığı tespit edebilmek için, erişim logları (access log) ve hata logları (error log) gibi günlükleri incelemelidir. Özellikle şu imzalara (signature) dikkat edilmelidir:

Başarılı Kimlik Doğrulama Girişleri: Loglarda yalnızca yetkili kullanıcılar tarafından yapılan başarılı oturum açma denemelerini izlemek, saldırganların sızma girişimlerini tespit etmek için önemlidir.
Başarısız Kimlik Doğrulama Girişleri: Çok sayıda hatalı kimlik doğrulama girişi loglarda kaydediliyorsa, bu bir güvenlik ihlali belirtisi olabilir. Özellikle belirli bir IP adresinden gelen ardışık giriş denemeleri, potansiyel bir yetkilendirme bypass girişimini gösterebilir.
NetKeyboard Argüman Değişiklikleri: Loglar üzerinde NetKeyboard parametrelerinin nasıl kullanıldığını analiz etmek, anormal veya şüpheli davranışların tespitine yardımcı olabilir. Bu atağın karakteristik özelliklerinden biri, kullanıcı olmayan komutların sistem üzerinde çalıştırılmasıdır.
Anormal Trafik Deseni: Ağ trafiğinde ani yükselişler veya gözlemlenen kullanıcı davranışlarının dışındaki aktivite, bir saldırı girişiminde olduğunuzu gösterebilir. Örneğin, limitlerin üzerinde bir veri akışı, kötü niyetli bir saldırganın yetkisiz erişim sağlamaya çalıştığını gösterebilir.
Güvenlik Olayları: Geleneksel loglarda göze çarpan bir diğer önemli unsur ise güvenlik uyarılarıdır. Belirli bir güvenlik aracının etkinliğiyle ilgili bildirimlerin takibi, potansiyel bir yetkilendirme atlatma girişimini erkenden tespit etmek açısından kritik öneme sahiptir.

Sonuç olarak, Dahua IP kameralarındaki CVE-2021-33044 açığı, siber güvenlik uzmanlarının dikkat etmesi gereken önemli bir zayıflıktır. İyi yapılandırılmış log analizi ve SIEM çözümleri, bu tür risklerin erken aşamada tespit edilip, önlenmesine olanak tanır. Bu bağlamda, güvenlik uzmanlarının düzenli olarak loglarını gözden geçirmesi ve potansiyel açıklarla ilgili bilgilere aşina olması gerekmektedir.

Savunma ve Sıkılaştırma (Hardening)

Dahua IP kameralarında bulunan CVE-2021-33044 açığı, saldırganların kimlik doğrulama süreçlerini atlayarak, sisteme istenmeyen erişim sağlamasına olanak tanımaktadır. Bu tür bir Authentication Bypass (Kimlik Doğrulama Atlatma) açığı, kötü niyetli kullanıcıların güvenliğini sağlamak için uygulamaların tasarlanmamış alanlarına sızmalarına ve sistem kaynaklarına erişim elde etmesine yol açabilir. Dahua gibi geniş bir müşteri tabanına sahip olan ürünlerde, bu tür zafiyetlerin bulunması oldukça ciddidir ve etkili bir güvenlik sağlamak için katı sıkılaştırma (hardening) önlemlerinin alınması gerekmektedir.

Öncelikle, bu zafiyeti kapatmak için önerilen ilk adım, cihazların firmware (sistem yazılımı) güncellemelerini takip etmektir. Dahua, bu tür zafiyetleri düzeltmek amacıyla düzenli olarak güncellemeler sunmaktadır. Kullanıcıların bu güncellemeleri zamanında uygulamaları, sistemin güvenliğini artırmak için kritik bir öneme sahiptir. Güncellemeleri otomatik olarak almak için, cihazların yapılandırma ayarlarında otomatik güncellemeleri etkinleştirmek iyi bir uygulamadır.

Alternatif olarak, firewall (güvenlik duvarı) kuralları ile dışarıdan gelen isteklerin denetlenmesi sağlanabilir. Web Application Firewall (WAF) çözümleri, uygulama katmanında gelen istekleri inceler ve belirli kurallar doğrultusunda şüpheli faaliyetleri engeller. Örneğin, kamera cihazlarına yönlendirilmiş olan isteklerin geçerliliğini kontrol eden bir WAF kuralı oluşturulabilir:

# WAF Kuralı Örneği
SecRule REQUEST_METHOD "POST" \
    "id:1000001, \
    phase:2, \
    t:lowercase, \
    deny, \
    status:403, \
    msg:'Authentication Bypass attempt detected'"

Bu örnekte, POST yöntemini kullanan tüm istekler değerlendirilir ve şüpheli bir durum tespit edildiğinde işlem durdurulur. Benzer şekilde, IP adresi bazında beyaz liste ve kara liste uygulamaları ile sadece güvenilir kaynaklardan gelen isteklerin kabul edilmesi sağlanabilir.

Cihazların sıkılaştırma stratejileri arasında, varsayılan kimlik bilgilerini değiştirmek, güçlü parolalar kullanmak ve ağda bulunan diğer cihazlarla olan iletişimi sınırlamak gibi pratik yollar yer alır. Dahua IP kameraları için bu, sadece cihaz üzerinde değil, aynı zamanda yerel ağ seviyesinde de uygulama gerektirir. Ayrıca, ağ segmentasyonu yaparak, IP kameraların kullanıldığı ağı diğer kritik sistemlerden izole etmek, olası bir saldırı durumunda erişim yetkilerinin sınırlandırılmasını sağlayabilir.

Son olarak, güvenlik izleme çözümleri uygulamak da, zafiyetlere karşı proaktif bir yaklaşım sağlar. Bu tür sistemler, şüpheli aktiviteleri kaydeder ve düzenli raporlar sunarak potansiyel tehditlerin hızlı bir şekilde tespit edilmesine yardımcı olur. Örneğin, anormal ağ trafiği veya beklenmedik oturum açma girişimleri gibi olaylara anında müdahale etmek mümkündür.

Dahua IP kameralarındaki CVE-2021-33044 zafiyeti, dikkatlice ele alındığında ciddi siber güvenlik tehditlerinin önüne geçebilir. Uygun yazılım güncellemeleri, güvenlik duvarı yapılandırmaları ve genel güvenlik bilgisi ile cihazlarınızı daha sağlam bir siber güvenlik altyapısı içinde koruyabilirsiniz. Sıkılaştırma stratejilerini sürekli güncel tutmak ve güvenlik açığı taramaları gerçekleştirmek, sistemlerinizi olası saldırılardan korumada etkin rol oynar.