CVE-2021-41277: Metabase GeoJSON API Local File Inclusion Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CV-2021-41277, Metabase uygulamasında bulunan bir yerel dosya dahil etme (Local File Inclusion - LFI) zafiyetidir. Bu zafiyet, kullanıcının Metabase’in API'si aracılığıyla GeoJSON formatındaki verileri okuma işlemi sırasında ortaya çıkan bir hata ile ilgilidir. Metabase, açık kaynaklı bir iş analizi platformu olarak, kullanıcıların verilerini görselleştirme ve raporlama işlemlerini kolaylaştırır. Ancak bu tür platformlarda güvenlik açıkları olduğunda, kullanıcı ve sistem güvenliği tehlikeye girebilir.

Zafiyetin tarihçesine baktığımızda, Metabase’in 0.39.0 sürümünde tanımlanmış bir sorun olduğunu görmekteyiz. Söz konusu zafiyet, sistemin kullanıcı girdilerini yeterince kontrol edememesi nedeniyle oluşmaktadır. Kullanıcılar, GeoJSON verileri yüklerken, potansiyel olarak sistemdeki hassas dosyalara erişim sağlayabilir. Özellikle, aşağıdaki gibi bir komut kullanarak grafiksel haritaların yüklendiği dosya sistemine ulaşabilirler:

curl -X POST -H "Content-Type: application/json" \
-d '{"data": {"type": "My Map Type", "data": "Içerik}}' \
http://metabase.local/api/map

Bu komut, uzaktan bir dosyaya erişim sağlarken, kötüye kullanıma açık bir durum yaratabilmektedir. LFI zafiyetleri, bazı durumlarda uzaktan kod çalıştırma (Remote Code Execution - RCE) gibi daha ciddi güvenlik açıklarına yol açabilmektedir. Bu da demektir ki, eğer bir saldırgan sistemdeki kritik dosyalara ulaşım sağlarsa, kendi zararlı kodlarını çalıştırabilir veya mevcut verileri manipüle edebilir.

CV-2021-41277, özellikle finans, sağlık ve eğitim sektörlerinde önemli güvenlik riskleri oluşturmuştur. Bu sektörlerde veri güvenliği, en üst düzey öncelik taşırken, Metabase gibi veri analiz araçlarının potansiyel zafiyetleri, şirket içi verilerin sızdırılması veya manipüle edilmesi gibi ciddi sonuçlar doğurabilir. Örneğin, bir finans kurumu, kötü niyetli bir kullanıcının müşteri bilgilerine ulaşmasını veya verileri değiştirmesini istemeyecektir.

Bu zafiyetin dünya genelindeki etkileri, birçok kurumsal ve iş gücüne sahip kuruluşun güvenlik açıklarını kapatmak ve yazılımlarını güncellemek zorunda kalmasıyla somutlaşmıştır. Fortune 500 şirketlerinden küçük ölçekli yatırımlara kadar her düzeyde etkili olmuştur. Öne çıkan bilgilere göre, bu tür bir zafiyetin keşfedilmesi sonrası, birçok organizasyon kendi güvenlik protokollerini yeniden gözden geçirmiş ve güvenlik güncellemeleri yapma yoluna gitmiştir.

Sonuç olarak, bu tür zafiyetler yalnızca teknik bir problem değil, aynı zamanda bir organizasyonun güvenliğini sağlamada büyük bir tehdit oluşturmaktadır. Bu nedenle, yazılımların güncellenmesi, kullanıcı girdilerinin doğrulanması ve gerekli güvenlik önlemlerinin alınması çok önemlidir. Metabase gibi açık kaynaklı yazılımlar, kullanıcıların dikkatli bir şekilde kullanılması gereken araçlar olup, güvenliği artırmak için sürekli güncellemeler ve denetimler gerektirmektedir.

Teknik Sömürü (Exploitation) ve PoC

Metabase, analitik ve veri görselleştirme alanında geniş bir kullanıcı kitlesine hitap eden bir açık kaynaklı platformdur. Ancak, CVE-2021-41277 zafiyeti, Metabase'ye entegre olan özel harita desteği aracılığıyla yerel dosya dahil etme (Local File Inclusion - LFI) açığına sahip olduğunu göstermektedir. Bu zafiyet, kötü niyetli bir kullanıcının, API üzerinden GeoJSON formatında veri okuma isteği yaparak hedef sistemdeki yerel dosyalara erişim sağlamasına olanak tanıyabilir. Bu bölümde, sömürü süreçlerini adım adım inceleyeceğiz.

Bu güvenlik açığını araştırırken ilk adım, Metabase API'sının nasıl çalıştığını anlamaktır. API, GeoJSON formatında veri almak için belirli bir URL'ye istek yapılmasını gerektirir. Öncelikle, Metabase sürümünüzün zafiyetten etkilenip etkilenmediğini doğrulamak önemlidir. Eğer sistem, CVE-2021-41277 ile ilgili bir sürümse, zafiyeti sömürme sürecine geçebiliriz.

Sömürme sürecinin ikinci adımı, potansiyel yerel dosya yollarını belirlemektir. Genellikle, uygulamanın çalıştığı işletim sistemine bağlı olarak /etc/passwd gibi dosyalara erişmeye çalışmak iyi bir başlangıç olabilir. Ayrıca, uygulamanın kurulu olduğu dizinler de araştırılmalıdır. Yerel dosya yollarını tespit ettikten sonra, GeoJSON isteği oluşturulmalıdır.

Aşağıda, bir HTTP isteği örneği verilmiştir. Bu istekte, kötü niyetli bir kullanıcı, sistemdeki /etc/passwd dosyasının içeriğini almayı hedeflemiştir:

POST /api/map/geojson HTTP/1.1
Host: hedef-sunucu.com
Content-Type: application/json

{
    "file": "/etc/passwd"
}

Bu isteği gönderdikten sonra, sistemin yanıtını kontrol etmek önemlidir. Yanıt, genellikle hedef dosyanın içeriğini içerecek ve bu, "local file inclusion" (LFI - yerel dosya dahil etme) açığının başarılı bir şekilde istismar edildiğini gösterir. Eğer yanıt içerikleri belli bir formatta gelirse, dosyanın okunabilir şekilde alındığını doğrulayabilirsiniz.

Sayıların artırılması ve sistemin saldırı yüzeyinin genişletilmesi, daha fazla bilgi edinilmesine olanak tanır. Örneğin, bir Python betiği kullanarak bu işlemleri otomatikleştirmek kannatlı olsa gerek:

import requests

url = "http://hedef-sunucu.com/api/map/geojson"
payload = {
    "file": "/etc/passwd"
}

response = requests.post(url, json=payload)

if response.status_code == 200:
    print(response.text)
else:
    print("Hata oluştu: ", response.status_code)

Bu basit Python betiği, yerel dosya dahil etme zafiyetini istismar etmeye yardımcı olabilir. Eğer başarılı olursanız, elde edeceğiniz veriler, hedef sunucunun yapılandırması, kullanıcı bilgileri gibi kritik verilere erişim sağlayabilir. Ayrıca, bu tür zafiyetlerin, Remote Code Execution (RCE - Uzaktan Kod Çalıştırma) imkanı sunmasının yanı sıra, dosya manipülasyonu gibi diğer saldırı vektörlerini de açabileceğini unutmayın.

Bu tür bir zafiyeti kullanmak elbette etik olmayan bir eylemdir ve yalnızca sistem güvenliği testleri ve artırımı amacıyla uygulanmalıdır. White Hat Hacker perspektifinden hareket ederek, uygulamanızın veya sisteminizin bu tür açıkların farkında olduğundan ve gerekli yamaların uygulandığından emin olun. Zafiyetlerin belirlenmesi ve giderilmesi, siber güvenliğin önemli bir parçasıdır ve bu tür eğitimlerle tüm paydaşların bilinçlenmesine katkıda bulunulması gerekmektedir.

Forensics (Adli Bilişim) ve Log Analizi

Siber güvenlik dünyasında, açık kaynaklı yazılımlar her ne kadar avantajlar sunsa da, bu yazılımlardaki zafiyetler siber saldırganlar için bir fırsat yaratabilir. CVE-2021-41277, Metabase platformunun GeoJSON API’sindeki yerel dosya içe aktarma (Local File Inclusion - LFI) zafiyeti, bu tür risklere örnek teşkil etmektedir. Bu yazılım, harita verilerini GeoJSON formatında okurken, kullanıcıların sistemdeki dosyalara erişim sağlamasına olanak tanıyabilir. Bu tür bir güvenlik açığına sahip bir sistem, siber saldırganlar tarafından kötüye kullanılabilir ve kritik bilgilere ulaşmak için kullanılabilir.

Bir siber güvenlik uzmanı olarak, bu tür zafiyetlerin tespit edilmesi, sadece zafiyetin varlığını anlamakla kalmaz, aynı zamanda potansiyel kötüye kullanımlarını da önlemeyi amaçlar. CyberFlow platformu gibi SIEM (Security Information and Event Management - Güvenlik Bilgi ve Olay Yönetimi) sistemleri, bu tür saldırıları tespit etmede büyük rol oynar. Metabase'in GeoJSON API'sindeki bu zafiyet, siber güvenlik uzmanlarının erişim ve hata günlüklerini (Access Log, Error Log vb.) analiz ederek tespit edebileceği belirtilerle ilişkilidir.

Öncelikle, log analizi yaparken dikkat edilmesi gereken bazı imzalar mevcuttur. Bir siber güvenlik uzmanı, aşağıdaki gibi belirli olayları ve örüntüleri aramalıdır:

Yüksek sayıda dosya erişim isteği: GeoJSON API'ye yapılan isteklerin sayısının beklentilerin üzerinde arttığını gözlemlemek, bir LFI (Local File Inclusion) belirtisi olabilir. Örneğin:

   192.168.1.10 - - [01/Oct/2023:10:00:00 +0000] "GET /api/map?file=../../etc/passwd HTTP/1.1" 200

Dosya yolu kullanımı: İsteklerde "…" veya "/*" gibi özel karakterlerin kullanılarak dosya yollarının manipüle edilmesi, potansiyel bir açıklığın varlığını gösterebilir. Bu tür istekleri belirlemek için log dosyalarında şu örnekleri inceleyebilirsiniz:

   192.168.1.10 - - [01/Oct/2023:10:01:00 +0000] "GET /api/map?file=../../var/www/html/config.php HTTP/1.1" 200

Hata mesajları ve yanıt kodları: LFI saldırısı sırasında ağ trafiği anomalileri ve HTTP yanıt kodları incelenmelidir. Bir dosyanın mevcut olup olmadığını kontrol eden bir istek sonrası alınan "404 Not Found" hata kodları veya "500 Internal Server Error" gibi hatalar, saldırganın başarısız bir denemesi olabilir. Loglarda bu tür hataları aramak, önemli bir göstergedir:

   192.168.1.10 - - [01/Oct/2023:10:02:00 +0000] "GET /api/map?file=../../etc/hosts HTTP/1.1" 404

Şüpheli IP adresleri: Belirli IP adreslerinden gelen olağandışı erişim talepleri, dikkat edilmesi gereken bir husustur. Bu IP'lerin davranışlarını analiz etmek ve güvenli olarak bilinen kaynaklardan gelen isteklerle karşılaştırmak önemlidir.

Log dosyalarını ve erişim kayıtlarını dikkatlice inceleyerek, yukarıdaki imzalara göre inceleme yapmak, bir LFI açıkının kötüye kullanılıp kullanılmadığını anlamak için kritik öneme sahiptir. Bu tür bir saldırının önceden tespit edilmesi, sisteminizi korumak ve siber güvenlik tehditlerine karşı proaktif bir yaklaşım geliştirmek için hayati bir adımdır. Tespit edilen anormallikler doğrultusunda, gerekli güvenlik yamaları ve önlemler alınmalı, sistem sürekli olarak izlenmelidir.

Savunma ve Sıkılaştırma (Hardening)

Metabase uygulamasındaki CVE-2021-41277 zafiyeti, GeoJSON formatındaki verileri okuyabilen API'nin özel harita desteği üzerinden yerel dosya dahil etme (Local File Inclusion - LFI) açıklığına sebep olmaktadır. Bu tür zafiyetler, kötü niyetli kullanıcıların sistemi istismar etmesine ve hassas verilere erişmesine yol açabileceği için kritik bir öneme sahiptir. Bu bağlamda, CyberFlow platformunda bu tür tehditlere karşı alınabilecek önlemleri derinlemesine incelemek gereklidir.

İlk olarak, bu tür açıklıkların önlenmesi için uygulama güvenliği katmanlarının güçlendirilmesi önemlidir. Metabase üzerinde yerel dosya dahil etme zafiyetini yöneten API'yi korumak amacıyla, kullanıcıların yükleyebileceği dosyaların türlerini kısıtlamak mantıklı bir yaklaşım olacaktır. Örneğin, API üzerinden yalnızca belirli dosya uzantılarına (örneğin, .json) izin vermek ve diğer türdeki dosya uzantılarını reddetmek, bu tür açıkların önüne geçebilir. Kullanıcı girişi esnasında dosya yollarını sanitasyon sürecinden geçirmek ve şüpheli karakterleri (../ gibi) filtrelemek de bu zafiyetin etkisini azaltacaktır.

Bir diğer önemli yöntem, Web Uygulama Güvenlik Duvarı (Web Application Firewall - WAF) kurallarını uygulamaktır. WAF, gelen trafiği analiz ederek kötü niyetli istekleri tespit edip engelleyebilir. Örneğin, şu tür bir WAF kuralı oluşturmak, yerel dosya dahil etme saldırılarına karşı bir önlem sağlayabilir:

SecRule REQUEST_URI "@rx \.\./" "id:1000001,phase:1,t:none,t:urlDecodeUni,deny,status:403"

Bu kural, URL'de geçen ../ ifadesini tespit ederek durumu 403 Forbidden hatasıyla sonlandırmaktadır. Bu tür kuralların güncel kalması ve sürekli olarak gözden geçirilmesi, saldırganların yeni teknikler geliştirmesini engellemeye yardımcı olacaktır.

Kalıcı sıkılaştırma önerileri arasında, uygulama sunucularının güncel ve güvenli bir şekilde yapılandırılması da bulunmaktadır. Metabase gibi kullanılan uygulamaların güncellemeleri takip edilerek, bilinen güvenlik açıklarının kapatılması sağlanmalıdır. Uygulama sunucusunun ve içerisindeki servislerin yalnızca gerekli olanlarla sınırlandırılması, potansiyel saldırı yüzeyini azaltır.

Ayrıca, erişim denetim mekanizmalarının gözden geçirilmesi ve gerekli yetkilere sahip olmayan kullanıcıların API erişimlerinin kısıtlanması, felaket senaryoları öncesinde önemli adımlardandır. Kullanıcı kimlik doğrulama süreçlerinin güçlendirilmesi ve güçlü parola politikalarının uygulanması da kullanıcı hesaplarının kötüye kullanılma olasılığını azaltır.

Son olarak, düzenli güvenlik taramaları ve penetrasyon testleri yaparak, olası güvenlik açıkları tespit edilip zamanında önlem alınmalıdır. Bu tür testler, hem mevcut güvenlik önlemlerini değerlendirir hem de geliştiricilere sistemin güvenliğini artıracak öneriler sunar. Herhangi bir zafiyet tespit edildiğinde, geliştirici ekibin hızlı bir şekilde müdahale edebilmesi için izlenecek eylem planları hazır olmalıdır.

Tüm bu yaklaşımlar, CyberFlow platformunun sağlam bir güvenlik mimarisine sahip olmasını ve olası zafiyetlerin etkilerinin en aza indirilmesini sağlayacaktır. Teknolojik tehditler sürekli gelişim göstermekte olduğundan, güvenlik uygulamalarının da sürekli olarak güncellenmesi ve sıkılaştırılması kritik bir öneme sahiptir. Bu şekilde, yerel dosya dahil etme gibi zafiyetlerin neden olabileceği ciddi sonuçlardan korunmak mümkün olacaktır.