CVE-2021-3493: Linux Kernel Privilege Escalation Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-3493, Linux çekirdeğinde bulunan bir zafiyettir ve özellikle overlayfs (üst üste yığılmış dosya sistemi) üzerinde yoğunlaşmaktadır. Bu zafiyet, çekirdek kullanıcı adı uzayları üzerinde dosya yeteneklerinin (file capabilities) uygulanmasını doğru bir şekilde doğrulamaması nedeniyle ortaya çıkmaktadır. Sonuç olarak, bu durum bir saldırganın daha yüksek ayrıcalıklarla (privilege escalation) sistem üzerinde işlem yapabilmesine olanak tanır.

Bu zafiyetin temelinde yatan hata, overlayfs dosya sistemi içinde yer alan yetkilendirme mekanizmasının zayıflığıdır. Ayrı yetenekler aracılığıyla (file capabilities) bir kullanıcı, belirli sistem işlevlerine erişim yetkisi kazanabilir. Ancak, Linux çekirdeğindeki bu hata, kullanıcı adlarının izlenmesinin yetersizliği nedeniyle saldırganın sistemdeki erişim seviyesini yükseltmesine neden olmaktadır. Dolayısıyla, bu zafiyet kullanılarak, bir kullanıcı sistemde root (kök) düzeyinde işlemler gerçekleştirebilir ki bu da oldukça tehlikeli bir durumdur.

CVE-2021-3493 zafiyeti, 2021 yılının itibariyle siber güvenlik topluluğu tarafından fark edilmiştir ve bu tarihten itibaren bir dizi sistem güncellemeleri ve yamalar (patches) yayınlanmıştır. Bu güncellemelerin hızlı bir şekilde uygulanması, sistemlerin güvenliğini sağlamak için kritik öneme sahiptir. Zafiyetin yayılımı, özellikle bulut altyapıları, sunucu sistemleri ve konteyner tabanlı uygulamalarda (Docker gibi) oldukça geniş bir etki alanına sahiptir. Bununla birlikte, birçok farklı sektörü etkileyebilecek kadar yaygındır; finans, sağlık, ticaret, eğitim gibi alanlardaki sistemlerin güvenlik açıkları, muhtemel saldırılara karşı savunmasız hale gelmiştir.

Gerçek dünya senaryolarında, bir saldırganın bu zafiyeti kullanarak elde ettiği ayrıcalıklar ile sistem üzerinde tam kontrol sağlama imkânı doğmaktadır. Örneğin, bir saldırgan, bir uygulamanın kullanıcıları tarafından kullanılan zayıflıklardan faydalanarak, hedef sistemdeki overlayfs üzerindeki dosyalara erişim kazanabilir. Bu durumda saldırgan, güvenlik politikalarını atlayarak (Auth Bypass) yetkili bir kullanıcı gibi hareket edebilir. Böylelikle sisteme kötü amaçlı yazılımlar yükleyebilir ya da mevcut verilere zarar verebilir.

Bu zafiyetin daha iyi anlaşılabilmesi için, örnek bir kod parçası üzerinden ilerleyelim. Aşağıdaki örnek kodda, overlayfs kullanılarak oluşturduğu dosyalar üzerinde yetkilendirme kontrolü yeterince sağlam yapılmamaktadır:

#include &lt;linux/overlayfs.h&gt;

int apply_caps(struct overlay_fs *ovfs, struct user_namespace *ns) {
    // Dosya yetkilendirme kontrolü yapılmamaktadır
    // Bu yerlerde kullanıcı adları izlenmiyor
    // Aşağıdaki durum, tehlikeli bir durum yaratabilir
}

Burada gördüğümüz gibi, overlayfs içinde yer alan yetki kontrolü aslında başından itibaren zayıftır. Bu durum, kullanıcı adlarının doğru bir şekilde doğrulanmaması ve gerekli kontrollerin yapılmamasıyla daha kritik hale gelmektedir.

Sonuç olarak, CVE-2021-3493 zafiyeti, siber güvenlik alanında önemli bir meseledir. Saldırganların sistemler üzerinde daha yüksek ayrıcalıklar elde edebilmeleri, bu tür zafiyetlerin sürekli izlenmesi ve güncellemelerin düzenli olarak yapılması gerekliliğini ortaya koymaktadır. Sistem yöneticileri, bu tür durumlara karşı proaktif yaklaşarak güvenlik önlemlerini artırmalı ve olası saldırılara karşı önleyici tedbirler almalıdır.

Teknik Sömürü (Exploitation) ve PoC

CVE-2021-3493, Linux kernel üzerinde bulunan overlayfs (overlay dosya sistemi) katmanlama mekanizmasının yanlış bir şekilde kullanıcı ad alanlarını (user namespaces) yönetmesi sonucunda ortaya çıkan bir güvenlik açığıdır. Bu zafiyet, potansiyel olarak yetkisiz kullanıcıların sistem üzerinde daha yüksek ayrıcalıklara (privilege escalation) sahip olmalarına yol açabilir. Bu durum, kötü niyetli aktörlerin sistemin güvenliğini ciddi oranda tehlikeye atmalarına zemin hazırlar. Bu yazıda, bu zafiyetin nasıl istismar edilebileceğine dair bir teknik eğitim içeriği sunulacaktır.

İlk olarak, zafiyetin nasıl çalıştığını anlamak önemlidir. Overlayfs, farklı dosya sistemlerini katmanlamaya olanak tanır. Ancak, dosya yetkilerinin ve kullanıcı ad alanlarının doğru bir şekilde denetlenmemesi, bu zafiyetin temelini oluşturur. Kullanıcı ad alanları, Linux’ta çeşitli kullanıcıların farklı yetkilere sahip olmasını sağlamaktadır. Fakat, overlayfs’in bu mekanizmayı iyi yönetememesi, süper kullanıcı (root) yetkilerine sahip olma ihtimalini doğurur.

Bu zafiyeti istismar etmek için izlenmesi gereken aşamalar şunlardır:

Sistem Bilgisi ve Hazırlık: Hedef sistemde hangi Linux kernel sürümünün çalıştığını belirleyin. Aşağıdaki komut ile kernel sürümünü öğrenebilirsiniz:

   uname -r

Ad Alanı Oluşturma: Kullanıcı ad alanı oluşturmak için aşağıdaki komutu kullanarak kendi ad alanınızı başlatın:

   unshare --user --mount --map-root-user bash

Bu komut, yeni bir kabuk (shell) açacak ve sizi root olarak gösterecektir. Ancak, bu durumda gerçek root yetkilerinize erişiminiz yoktur.

Overlayfs Oluşturma: Dosyaları katmanlamak için overlayfs’i kullanarak bir dosya sistemi oluşturun. İlk olarak gerekli dizinleri oluşturmalısınız:

   mkdir /tmp/upper /tmp/work /tmp/lower

Daha sonra bir overlayfs mount işlemi gerçekleştirin:

   mount -t overlay overlay -o lowerdir=/tmp/lower,upperdir=/tmp/upper,workdir=/tmp/work /tmp/overlay

Dosya Yetkilerini Manipüle Etme: Şimdi, overlayfs üzerinde dosya yetkilerini değiştirme işlemini gerçekleştirin. Örneğin, bir dosyayı oluşturup üzerine haklar ekleyebilirsiniz:

   touch /tmp/overlay/testfile
   chmod +s /tmp/overlay/testfile

Bu adımda, testfile üzerinde SGID bitini ayarlayarak yetkileri arttırmış olduk. Bu dosya daha sonra kök (root) yetkileri ile çalıştırılabilir.

Kötü Amaçlı Yürütme (Execution): Şimdi oluşturduğunuz dosyayı çalıştırarak yüksek ayrıcalıklar elde etmeye çalışabilirsiniz:

   /tmp/overlay/testfile

Bu aşama, eğer exploit başarılı olursa, sistem üzerinde kök erişimi elde etmenizi sağlayacaktır. Unutmayın ki bu tür teknikler yalnızca etik amaçlar için ve iznin alındığı sistemlerde kullanılmalıdır. Herhangi bir kötü niyetli faaliyet, ciddi hukuki sonuçlar doğuracaktır.

Sonuç olarak, CVE-2021-3493 zafiyeti, bünyesindeki potansiyel tehlikelerle birlikte Linux sistemlerinde ciddi bir açık oluşturmaktadır. Overlayfs kullanımı sırasında güvenliğin sağlanması, sistem yöneticileri için kritik öneme sahiptir. Bu zafiyetin farkında olmak ve gerekli güncellemeleri yapmak, sistemin güvenliğini korumak adına elzemdir.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2021-3493, Linux kernel üzerinde çalışan overlayfs (katmanlı dosya sistemi) ile ilişkili bir hak (privilege) yükseltme zafiyetidir. Bu zafiyet, Linux ortamlarında kullanıcı ad alanlarının (user namespaces) doğrulanmasında eksiklikten kaynaklanmakta ve kötü niyetli bir kullanıcının, sistemde yetkilerini arttırmasına izin vermektedir. Siber güvenlik uzmanlarının bu tür zafiyetleri tespit etmesi, siber tehditlerin önlenmesinde kritik öneme sahiptir. Bu yazıda, siber güvenlik uzmanlarının bu tür bir saldırıyı SIEM (Security Information and Event Management) sistemi ya da log dosyalarını incelerken nasıl tespit edebileceklerine ve hangi imzalara (signature) odaklanmaları gerektiğine değinilecektir.

Öncelikle, Linux kernel'in overlayfs katmanlı dosya sistemini etkileyen bu zafiyet, çoğunlukla kötü amaçlı yazılımlar ya da yetkisiz kullanıcıların sistem haklarını artırması için kullanılabilmektedir. Bir saldırgan, bu zafiyeti kullanarak normalde erişim izni olmayan sistem dosyalarına ulaşabilir veya sistemde yüksek yetkilere sahip işlem oluşturabilir. Bu nedenle, siber güvenlik uzmanları, log kayıtlarını inceleyerek ve SIEM platformlarını kullanarak bu tür davranışları belirlemeye çalışmalıdırlar.

Log dosyalarında dikkat edilmesi gereken ana unsurlardan biri, olağan dışı sistem erişim kayıtlarıdır. Aşağıda, bu zafiyeti içeren bir saldırının belirlenmesine yönelik bazı imza ve göstergeler verilmiştir:

Erişim Logları (Access Logs):

Kullanıcının bir dosyaya erişim sağlama sıklığı ve zaman dilimleri önemlidir. Ancak, zaman dilimi gibi norm dışı aktiviteleri gözlemleyebileceğiniz zaman aralıkları bulmak da önemlidir. Örneğin, sistemin yoğun olarak kullanıldığı saatlerde anormal bir şekilde yüksek sayıda istek geliyorsa, bu durum bir saldırının belirtisi olabilir.

   grep -i "access" /var/log/auth.log | grep "$(date +%Y-%m-%d)"

Hata Logları (Error Logs):

Overlayfs ile ilişkili hata mesajları, saldırganın bu zafiyeti kullanmaya çalışıp çalışmadığını gösteren kritik belirtilerdir. Örneğin, dosya önbelleklemesi sırasında oluşan hatalara odaklanılmalıdır.

   grep -i "overlayfs" /var/log/syslog

Sistem ve Kullanıcı Davranış Analizi:

Normal kullanıcı aktivitelerinin dışında gerçekleştirilen işlem ve erişim talepleri, şüpheli hareketleri ortaya çıkarabilir. Özellikle, kullanıcı ad alanlarında gizli erişim kazanmaya yönelik hamleler sert bir şekilde incelenmelidir.

İzin Değişiklikleri:

Yetkisiz kaynaklar üzerindeki izin değişikliklerini izlemek, bu tür bir saldırının varlığını tespit etmek için önemlidir. Bir kullanıcının sistemdeki dosyaları veya dizinleri düzenli olarak değiştirmesi, dikkat edilmesi gereken önemli bir belirtidir.

Sonuç olarak, CVE-2021-3493 zafiyetinin sebeplerini anlamak ve saldırıların tespiti için sistem loglarını analiz etmek, siber güvenlik uzmanları için hayati bir önem taşır. Kötü niyetli kullanıcıların bu tür zafiyetlerden yararlanmasını önlemek için, erişim ve hata loglarının yanı sıra sistem davranışlarını analiz etmek gereklidir. Yapılacak düzenli log analizleri, potansiyel tehditlerin erken aşamada tespit edilmesini sağlayabilir ve sistem güvenliğini artırabilir.

Savunma ve Sıkılaştırma (Hardening)

CVE-2021-3493 zafiyeti, Linux çekirdeğinde bulunan overlayfs yığın dosya sisteminin kullanıcı ad boşluklarına (user namespaces) karşı dosya yetkilendirmelerini yeterince doğru bir şekilde doğrulamamasından kaynaklanan bir ayrıcalık yükseltme (privilege escalation) güvenlik açığıdır. Bu tür zafiyetler, kötü niyetli bir kullanıcının yetkilerini artırarak sistemde yetkisiz erişim sağlamasına olanak tanıyabilir. Linux çekirdeği üzerinde çalışan uygulamalar için kritik bir tehdit oluşturur.

Bu tür zafiyetlerden korunmak için savunma ve sıkılaştırma (hardening) önlemleri almak büyük önem taşır. Öncelikle, sisteminizi güncel tutmak bir zorunluluktur. Linux çekirdeği ve kullanılan diğer yazılımlar için güncellemeleri periyodik olarak kontrol etmek ve uygulamak, bilinen zafiyetlerin sisteme etkisini büyük ölçüde azaltır. Örneğin, CVE-2021-3493 ile ilgili düzeltmeler, Linux çekirdeği 5.14 sürümünde yapılmıştır. Bu sürümü kullanarak potansiyel riskleri minimize edebilirsiniz.

Ayrıca, kullanıcı ad boşlukları ve dosya yetkilendirmeleri gibi konularda sıkı politikalar geliştirin. Belirli dosya ve dizinlere erişim sağlayan kullanıcıların yetkilerini, gerçekten ihtiyaç duydukları minimum seviyede kısıtlamak önemlidir. Örneğin, kritik sistem dosyaları üzerinde yazma izinlerini sadece gerekli kullanıcılarla sınırlı tutun:

chmod 700 /kritik_dizin/

Bunun yanı sıra, ağ güvenlik duvarları (WAF) ve benzeri güvenlik çözümleri kullanarak dışarıdan gelebilecek saldırılara karşı katmanlı bir savunma oluşturabilirsiniz. WAF kuralları, özellikle uygulama katmanında çeşitli saldırılara karşı proaktif bir koruma sağlamaktadır. Aşağıda bazı yararlı WAF kural önerileri verilmiştir:

Kullanıcı girişi yapılan tüm formlarda girişlerinin doğrulanması ve temizlenmesi.
Yetkilendirilmemiş erişim girişimlerinin izlenmesi ve engellenmesi.
Güvenlik hatalarının düzgün bir şekilde loglanması ve analiz edilmesi.

Kalıcı sıkılaştırma önerileri arasında, sisteminizde kullanılmayan servisleri devre dışı bırakmak ve güvenlik açıklarına karşı sürekli olarak tarama yapan araçlar (örneğin, Lynis, OpenVAS) kullanmak da bulunmaktadır. Sisteminiz üzerinde çalışmayan servislerin kapatılması, saldırı yüzeyinizi büyük ölçüde azaltacaktır. Örneğin, aşağıdaki komut ile hiç kullanılmayan bir servisi devre dışı bırakabilirsiniz:

systemctl disable gereksiz_servis

Sonuç olarak, CVE-2021-3493 gibi güvenlik açıklarına karşı alacağınız önlemler, sadece mevcut zafiyetleri kapatmakla kalmayıp, sisteminizin genel güvenliğini artıracaktır. Kullanıcı ad boşlukları ve dosya yetkilendirmeleri üzerindeki kontrolü artırmak, güncellemeleri sürekli takip etmek ve güvenlik duvarı ayarlarını optimize etmek bu bağlamda kritik öneme sahiptir. White Hat Hacker perspektifi ile yaklaşarak, sisteminizi koruma altına alabilir ve olası saldırılara karşı dirençli hale getirebilirsiniz.