CVE-2021-38163: SAP NetWeaver Unrestricted File Upload Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-38163, SAP NetWeaver platformunda yer alan ciddi bir güvenlik açığıdır. Bu zafiyet, kullanıcıların sisteme sınırsız dosya yüklemesine olanak tanır. Unrestricted file upload (sınırsız dosya yükleme) zafiyeti, saldırganların kötü niyetli dosyaları yükleyerek sistemde çeşitli kötü amaçlı faaliyetler gerçekleştirmelerine olanak sağlayabilir. Bu tür bir zafiyet, özellikle uzaktan kod çalıştırma (Remote Code Execution - RCE) gibi tehlikeli durumlara yol açabilir.

SAP NetWeaver, birçok kurumsal uygulamanın temelini oluşturan ve uygulama geliştirme, entegrasyon ve iş süreçlerini yönetmek için kullanılan güçlü bir platformdur. Bu özelliği nedeniyle, zafiyetin etkisi de oldukça geniş bir yelpazeye yayılarak farklı sektörlerde ciddi risklere neden olabilir. Örneğin, finans, sağlık, üretim ve perakende gibi sektörlerde faaliyet gösteren işletmeler, SAP NetWeaver kullanarak sistemlerini yönetirler. Dolayısıyla, bu işletmelerdeki güvenlik açığı, yalnızca kurumsal verilerin değil, aynı zamanda müşteri bilgilerinin de tehlikeye girmesine neden olabilir.

CVE-2021-38163'ün menşei, SAP NetWeaver'ın dosya yükleme işlevinde bulunan yanlış yapılandırmadan kaynaklanmaktadır. Düşük güvenlik önlemleri ve eksik doğrulama süreçleri, saldırganların kötü niyetli dosyalar yüklemesini mümkün kılan önemli faktörlerdir. Gerçek bir dünya senaryosunda, bir saldırgan, sistemdeki bir açık veya eksik doğrulama yolunu kullanarak bir web uygulaması üzerinden zararlı bir dosya yükleyebilir. Yüklenen bu dosya, örneğin bir PHP betiği olursa, saldırganın uzaktan istediği komutları yürütmesine imkân tanır. Bu durumda, RCE (uzaktan kod çalıştırma) gibi sonuçlar doğabilir ve saldırgan, sistem üzerinde tam kontrol elde edebilir.

Dünya genelinde bu zafiyetten etkilenen birçok kuruluş bulunmaktadır. Özellikle büyük işletmeler, kamu kurumları ve sağlık hizmetleri sağlayıcıları, SAP NetWeaver kullandıkları için ciddi risk altındadır. Bu tür zafiyetlerin varlığı, veri sızdırma, sistem çökmesinin yanı sıra itibar kaybına da yol açabilir. Örneğin, saldırganın gerçekleştireceği bir veri sızıntısı, müşteri bilgilerini tehlikeye atarak, hem yasal sorunlara neden olabilir hem de müşterilerle olan güven ilişkisini zedeler.

Zafiyetin etkisini en aza indirmek için, SAP NetWeaver kullanıcılarının güvenlik yamalarını zamanında uygulaması, dosya yükleme işlemlerinde katı doğrulama kurallarının uygulanması ve dosya türü kontrollerinin sıkı bir şekilde yapılması gerekir. Ek olarak, sistemlerde izleme ve anomali tespiti gibi güvenlik önlemleri de dikkatlice değerlendirilmelidir. Güvenlik açıklarını minimize etmek için tertipli sızma testleri (penetration testing) ve güvenlik denetimleri yapmak, sistemin güvenliğini artıracaktır.

Sonuç olarak, CVE-2021-38163, sınırsız dosya yükleme zafiyetiyle büyük bir tehdit oluşturmaktadır. SAP NetWeaver kullanan tüm kuruluşların bu zafiyeti göz önünde bulundurarak güvenlik önlemlerini güçlendirmesi gerekmektedir. Güvenlik alanında "White Hat Hacker" olarak, düzenli testler ve güncellemelerle sistemleri daha güvenli hale getirmek, hem işletmelerin hem de onların müşterilerinin temel ihtiyacıdır.

Teknik Sömürü (Exploitation) ve PoC

SAP NetWeaver'deki CVE-2021-38163 zafiyeti, kötü niyetli kullanıcıların sistemde herhangi bir dosyayı yüklemesine olanak tanır. Bu durum, kötü amaçlı yazılımlar, shell'ler ve diğer zararlı içeriklerin sistemde çalıştırılmasına sebep olabilir. Zafiyetin temelinde, dosya yükleme işlemleri için yeterli denetim mekanizmalarının olmaması yatmaktadır. Bu, aynı zamanda bir "Remote Code Execution" (Uzak Kod Çalıştırma) (RCE) zafiyetine dönüşebilir, çünkü zararlı bir dosya yüklendiğinde, bu dosyanın çalıştırılması sağlanabilir.

Bu tür bir açık, genellikle siber saldırganların hedeflediği bir durumdur. Dolayısıyla, etik hackerların (White Hat Hacker) bu tür zafiyetlere karşı hazırlıklı olmaları büyük önem taşır. Şimdi, bu zafiyetin sömürü sürecini adım adım inceleyelim.

İlk adım, hedef sistemin zafiyet taşıdığından emin olmaktır. SAP NetWeaver üzerindeki dosya yükleme mekanizmasının doğru bir şekilde çalışıp çalışmadığını test etmek için, HTTP istekleri göndermek gerekmektedir. Hedef URL'den bir dosya yükleme isteği yaparak başlayabiliriz. Bu ilk aşamada, aşağıdaki gibi bir POST isteği kullanabiliriz:

POST /upload/path HTTP/1.1
Host: target-system.com
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Length: [dosya boyutu]

------WebKitFormBoundary7MA4YWxkTrZu0gW
Content-Disposition: form-data; name="file"; filename="malicious.php"
Content-Type: application/x-php

&lt;?php echo shell_exec($_GET['cmd']); ?&gt;
------WebKitFormBoundary7MA4YWxkTrZu0gW--

Burada, "malicious.php" adlı bir PHP dosyası yüklemekteyiz. Bu dosya, sistem üzerinde komut çalıştırmak için kullanılacak bir shell kodu içermektedir. Yükleme isteği tamamlandığında, dosyanın yüklenip yüklenmediğini kontrol etmek gerekmektedir.

İkinci aşama, yüklü dosyanın üstünde çalıştırılabilir olup olmadığını test etmektir. Eğer başarılı bir şekilde yüklendi ise, dosyanın bulunduğu URL üzerinden erişim sağlamak gerekir. Örneğin:

GET /path/to/uploaded/malicious.php?cmd=whoami HTTP/1.1
Host: target-system.com

Burada, "whoami" komutu ile hedef sistem üzerinde kim olduğumuzu öğrenmeye çalışıyoruz. Eğer cevap olarak sistemin kullanıcı bilgilerini alabiliyorsak, dosyanın başarıyla çalıştığını belirtiyor. Bu aşamada saldırının başarılı olduğunu kabul edebiliriz.

Üçüncü aşama, daha fazla komut çalıştırarak hedef sistem üzerinde daha fazla erişim elde etmektir. Aşağıda, çeşitli komutları çalıştırma örneklerini görebilirsiniz:

GET /path/to/uploaded/malicious.php?cmd=cat%20/etc/passwd HTTP/1.1
Host: target-system.com

Bu istekle, hedef sistemdeki "/etc/passwd" dosyasını okuyabiliriz. Bu dosyanın içeriği, sistemdeki kullanıcı hesaplarının bilgilerini içermektedir ve saldırgan için faydalı olabilecek bilgiler barındırır.

Bu aşamalar, pratikte karşılaşabileceğimiz bir senaryoyu temsil etmektedir. Ancak, dosya yükleme zafiyetini sömürmeye yönelik teknikler, güvenlik duvarları ve uygulama güvenlik mekanizmaları ile önlenmeye çalışılmaktadır. Etik hackerlar olarak, bu tür zafiyetleri tespit edip, gerekli yamaları veya güvenlik önlemlerini önermek büyük önem taşır. Bu nedenle, sürekli olarak güvenlik açıklarını analiz etmek ve güncel kalmak, sistemlerin güvenliğini sağlamak açısından kritik bir bileşendir.

Forensics (Adli Bilişim) ve Log Analizi

SAP NetWeaver, geniş bir kullanıcı tabanına sahip olan ve kurumsal uygulamaların çalıştırılması için yaygın olarak kullanılan bir platformdur. Ancak, bu platformda bulunan CVE-2021-38163 olarak bilinen zafiyet, kötü niyetli kullanıcılar tarafından kötüye kullanılabilir ve sistem güvenliğini ciddi anlamda tehdit eder. Bu zafiyet, kötü niyetli bir kullanıcının, sistemin dosya yükleme işlevini istismar ederek sunucuya zararlı dosyalar yüklemesine olanak tanır. Bu tür bir saldırı, çeşitli tehlikelere yol açabilir; örneğin, uzaktan kod çalıştırma (RCE - Remote Code Execution) gibi bir durum ortaya çıkabilir.

Bir siber güvenlik uzmanı olarak, bu tür bir saldırının izlerini bulmak, etkili bir güvenlik yönetimi için kritik öneme sahiptir. İlk olarak, yapılması gereken, Log dosyalarını (günlük dosyaları) dikkatlice incelemektir. SAP NetWeaver üzerinde yapılan her işlem, belirli log dosyalarına kaydedilir. Burada, Access log (erişim kaydı) ve error log (hata kaydı) gibi önemli log türleri ön plana çıkar.

Access log dosyaları, sistem üzerine yapılan tüm erişimleri kaydeder. Bu logların analizi, saldırgan tarafından gerçekleştirilen dosya yükleme işlemlerini anlamaya yardımcı olabilir. Özellikle, dosya yükleme URL’leri üzerinde yapılan incelemeler, dosya yükleme girişimlerinin başarılı olup olmadığını veya beklenmedik dosya uzantalarının kullanılıp kullanılmadığını ortaya çıkarabilir.

Kötü niyetli bir kullanıcının yüklemeye çalıştığı dosya tipi, dikkat edilmesi gereken önemli bir göstergedir. Örneğin, bir kişi; .php, .jsp veya .html gibi dinamik dosya uzantıları yüklemeye çalışıyorsa, bu durum anormal ve şüpheli bir faaliyet olarak değerlendirilmelidir. Dikkat edilmesi gereken bir diğer önemli nokta, dosya boyutu ve içerik türleridir. Eğer yüklenmeye çalışan dosya, bilinen dosya türlerinden (örneğin, .jpg veya .png gibi) farklıysa veya olağan dışı bir boyuta sahipse, bu durum başka bir şüphenin kaynağı olur.

Error log dosyaları ise sistemde oluşan hataları ve uyumsuzlukları kaydeder. Bu loglarda, dosya yükleme işlemleri sırasında oluşan hatalar incelenebilir. Kötü niyetli bir kullanıcının yüklediği dosyalar nedeniyle ortaya çıkan hatalar, saldırının izlerini sürdürebilmek için elverişli ipuçları sağlar.

Özellikle, dosya yükleme işlemleri sırasında çıkan kod hataları (örneğin, 404 Not Found, 403 Forbidden gibi) ve sunucu cevapları, dikkatlice incelenmelidir. Eğer bir dosya yükleme işlemi, beklenen bir MIME türüyle uyumsuzsa veya dosya tarayıcı tarafından red ediliyorsa, bu durum saldırganın amacını gerçekleştirmeye çalıştığına dair önemli bir ipucu sunabilir.

Bunun yanı sıra, dosya yükleme işlemlerinde alışılmadık bir kullanıcı davranışı da dikkat çekici bir durum olabilir. Örneğin, bir kullanıcının aynı IP adresinden çok sayıda dosya yükleme girişiminde bulunması veya bir süre zarfında birkaç farklı dosya yüklemeye çalışması, dikkat edilmesi gereken bir emare olarak değerlendirilebilir.

Sonuç olarak, SAP NetWeaver üzerindeki CVE-2021-38163 zafiyetini anlamak ve buna karşı önlem almak için, bir siber güvenlik uzmanının log analizi konusunda deneyimli olması gerekmektedir. Log dosyalarındaki olağan dışı aktiviteleri tespit etmek, potansiyel bir siber saldırının önceden belirlenmesi ve gerekli önlemlerin alınması açısından kritiktir. Bu süreç, her zaman güncel ve detaylı bir güvenlik yönetimi gerektirir.

Savunma ve Sıkılaştırma (Hardening)

SAP NetWeaver, birçok kuruluşun kritik iş süreçlerini destekleyen bir platformdur ve bu nedenle güvenlik tehditlerine karşı sağlam bir savunma mekanizması oluşturmak hayati önem taşır. CVE-2021-38163 zafiyeti, SAP NetWeaver üzerinde kötü niyetli kullanıcıların sınırsız dosya yüklemesi yapmasına olanak tanır. Bu durum, siber saldırganların kötü amaçlı dosyalar yükleyerek uzaktan kod çalıştırma (RCE) gibi tehlikeli saldırılar gerçekleştirmesine yol açabilir.

Bu tür bir zafiyetin etkilerini minimize etmek için sıkılaştırma (hardening) yöntemleri ve ek güvenlik saklamaları önemlidir. Öncelikle, dosya yükleme süreçlerinin güvenliği için gerçekleştirilecek adımlar aşağıda detaylandırılmıştır:

Dosya Türleri Üzerindeki Kısıtlamalar: Kullanıcıların yalnızca belirli uzantılara sahip dosyaları yüklemesine izin vermek, tehditlerin önüne geçmekte önemli bir adımdır. Örneğin, sadece .jpg, .png, .pdf gibi dosya tiplerinin yüklenmesine izin vermek, kötü niyetli dosyaların platforma girişini büyük ölçüde azaltır. Bunu sağlamak için, dosya yükleme kodu aşağıdaki gibi yapılandırılmalıdır:
```
// Yüklemek istenen dosya uzantılarını tanımlayın
$allowed_ext = array("jpg", "jpeg", "png", "pdf");
$file_ext = pathinfo($file['name'], PATHINFO_EXTENSION);

if (!in_array($file_ext, $allowed_ext)) {
    die("Bu dosya türüne izin verilmiyor.");
}
```
Yüklenen Dosyaların Kontrolü: Dosya içeriğinin, yalnızca belirtildiği gibi bir formatta olup olmadığını kontrol etmek de önemlidir. Bir dosyanın uzantısı değiştirilmiş olsa bile içerik analizi ile bu durumun tespit edilmesi mümkündür. Örneğin, yüklenen bir dosyanın içerik türü aşağıdaki gibi kontrol edilebilir:
```
// Dosyanın MIME türünü kontrol et
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime_type = finfo_file($finfo, $file['tmp_name']);
finfo_close($finfo);

if ($mime_type !== 'image/jpeg' &amp;&amp; $mime_type !== 'image/png' &amp;&amp; $mime_type !== 'application/pdf') {
    die("Geçersiz dosya içeriği.");
}
```
Web Uygulama Güvenlik Duvarı (WAF): Alternatif firewall kuralları da bu tür zafiyetlere karşı etkin bir savunma sağlar. WAF, HTTP isteklerini analiz ederek şüpheli yüklemeleri veya komutları tespit edebilir. Örneğin, dosya yükleme alanlarını korumak için aşağıdaki gibi kurallar uygulanabilir:
- Yükleme sürecinde belirli yükleme boyutu kısıtlamaları koymak (örneğin, maksimum 1 MB)
- Dosya uzantılarını temel alan filtreleme kuralları.
- Potansiyel zararlı URL biçimlerini engelleyen kurallar (örneğin: *.*.php gibi).
Regüler İzleme ve Güncellemeler: SAP NetWeaver sistemlerinin sürekli güncellenmesi ve izlenmesi, potansiyel zafiyetlerin hızla tespit edilmesini sağlar. Ayrıca, şüpheli dosya aktivitelerinin günlüklerini düzenli olarak analiz etmek, izleme sürecinin önemli bir parçasıdır.
Kapsamlı Eğitim ve Farkındalık: Kullanıcılara yönelik düzenlenen siber güvenlik eğitimleri, potansiyel iç tehditlerin azaltılmasına yardımcı olur. Sosyal mühendislik saldırılarına karşı bilinçlendirilmiş bir personel, saldırganların işini zorlaştırır.

Sonuç olarak, CVE-2021-38163 gibi zafiyetlerden korunmak için çok katmanlı bir güvenlik yaklaşımının benimsenmesi gerekmektedir. Unutulmamalıdır ki, güvenlik sadece teknik önlemlerle değil, aynı zamanda organizasyonel stratejilerle sağlanır. Bu nedenle, tüm sistem bileşenlerinin ve kullanıcıların güvenlik bilincinin artırılması elzemdir.