CVE-2021-41773: Apache HTTP Server Path Traversal Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-41773 olarak bilinen Apache HTTP Server Path Traversal Zafiyeti, siber güvenlik dünyasında önemli bir tehdit oluşturmuş ve internetin büyük bir kısmını etkileyen bir güvenlik açığı olarak kayıtlara geçmiştir. Apache HTTP Server, dünya genelinde en çok kullanılan web sunucularından biridir ve yaygın kullanımı nedeniyle, bu zafiyetin etkileri geniş bir yelpazeyi kapsamaktadır. Zafiyet, 2021 yılında keşfedilmiş ve Apache Vakfı tarafından duyurulmuştur. Ancak, mevcut yamanın yeterli olmadığının anlaşılması, CVE-2021-42013 zafiyetine yol açmıştır. Bu durum, önceden alınmış önlemlerin yetersizliğini gösteriyor.

Zafiyet, temelde bir path traversal (yol geçişi) hatasıdır. Bu tür bir hata, bir saldırgana sunucu dosya sisteminde hiyerarşik olarak daha yukarıdaki dizinler arasında gezinme olanağı tanır. Apache HTTP Server'da mevcut olan belirli yapılandırma hataları nedeniyle, eğer dosyalar Alias-like (benzeri) direktifler ile yapılandırılmış dizinlerin dışındaysa ve bu dizinlerde "require all denied" (tümünü reddet) ayarı geçerli değilse, bir saldırgan kötü niyetli bir şekilde bu dizinlere erişebilir. Özellikle, CGI (Common Gateway Interface) scriptlerinin etkin olduğu durumlarda, bu durum saldırganın uzaktan kod yürütme (RCE) gerçekleştirmesine yol açabilir.

Gerçek dünya senaryoları düşünüldüğünde, bu tür bir zafiyet, şirketlerin web sunucularında hassas verilere erişim sağlamak için kullanılabilir. Örneğin, bir finans kuruluşu, düzenli olarak müşteri bilgilerini ve işlemlerini saklayan bir web uygulaması barındırıyorsa, bir saldırgan CVE-2021-41773 zafiyetini kullanarak bu verilere erişebilir ve kötü niyetle kullanabilir. Şirketin veri güvenliğinde ciddi hasarlar meydana gelebilir ve bu da itibar kaybı ve yasal sorunlara yol açabilir.

Zafiyetin etkilediği sektörler arasında finans, sağlık, eğitim ve e-ticaret öne çıkmaktadır. Bu sektörlerde, kullanıcı verileri ve gizlilik son derece önemli olduğundan, bu tür zafiyetlerin kapatılması hayati bir öneme sahiptir. Şirketler bu tür zafiyetlerden etkilenmemek için güvenlik güncellemelerini ve yamalarını hızla uygulamalıdır. Ayrıca, web sunucusu yapılandırmalarının dikkatli bir şekilde gözden geçirilmesi, potansiyel zafiyetlerin ortaya çıkmasını engelleyebilir.

Zafiyetin çözümü için önerilen ilk adım, Apache HTTP Server yapılandırmalarını gözden geçirerek, Alias veya benzeri direktiflerin düzgün bir şekilde yapılandırıldığından emin olmak olmalıdır. Ayrıca, CGI scriptlerinin güvenliğini sağlamak ve potansiyel olarak zararlı dosyaların yüklenmesini engellemek için gerekli önlemler alınmalıdır. Sunucu yapılandırmaları adım adım gözden geçirilmelidir ve geliştirilen sistemlerde güvenlik testi uygulanmalıdır.

Sonuç olarak, CVE-2021-41773 zafiyeti, Apache HTTP Server üzerindeki path traversal açığı, pek çok sektörde siber güvenlik açısından büyük bir risk yaratmaktadır. Güvenliğe yapılan yatırımlar, web uygulamalarının savunmasında kritik bir rol oynamaktadır. Bu nedenle, sürekli güncellemeler ve proaktif güvenlik ölçümleri alınması büyük önem taşımaktadır.

Teknik Sömürü (Exploitation) ve PoC

Apache HTTP Server, dünya genelinde en yaygın kullanılan web sunucularından biridir. Ancak, CVE-2021-41773 koduyla bilinen path traversal (yol traversi) zafiyeti, bu sunucuların güvenliğini tehdit eden önemli bir açıktır. Bu zafiyet, saldırganların yetkisiz dosylara erişim sağlamasına ve belli koşullar altında uzaktan kod yürütme (RCE) gerçekleştirmesine olanak tanımaktadır. Bu yazıda, bu zafiyetin sömürü aşamalarını bir "White Hat Hacker" bakış açısıyla inceleyeceğiz.

Apache HTTP Server'deki bu zafiyet, özellikle dizinlerin doğru bir şekilde yapılandırılmaması veya CGI (Common Gateway Interface) betiklerinin etkinleştirilmesi durumunda ortaya çıkmaktadır. Zafiyetin etkili olabilmesi için, sunucunun, alias gibi direktiflerle dışarıda kalan dosyaları içermesi gerekmektedir. Ayrıca, varsayılan "require all denied" ayarı devre dışı bırakılmış olmalıdır. Bu nedenle, bu zafiyetin varlığını tespit etmek için sunucu konfigürasyonunu dikkatlice incelemek önemlidir.

Sömürü Adımları

1. Hedef Belirleme: İlk adım olarak, potansiyel hedef sunucuya erişim sağlamalıyız. Hedef Apache HTTP Sunucusu olmalıdır. Bu sunucunun üzerinde çalıştığı işletim sistemi ve diğer bileşenleri hakkında bilgi edinmek için çeşitli tarama araçları kullanılabilir. Örneğin, Nmap aracıyla var olan servisleri tarayabiliriz:

   nmap -sV <hedef_ip>

2. Zayıflığın Tespiti: Path traversal zafiyetinin aktif olup olmadığını anlamak için sunucunun dosya yapılandırmasını test edebiliriz. Örneğin, klasik bir path traversal testi için aşağıdaki istek kullanılabilir:

   GET /../../../../etc/passwd HTTP/1.1
   Host: <hedef_domain>

Eğer sunucu yapılandırması zayıfsa, burada /etc/passwd dosyasının içeriği bize dönecektir.

3. Uzaktan Kod Yürütme (RCE) Denemesi: Eğer CGI betikleri etkinse ve gerekli dosya izinleri verilmişse, uzaktan komut yürütmek için bir CGI betiği oluşturabiliriz. Örneğin, aşağıdaki gibi bir Python scripti yazıp sunucuya yüklemeyi deneyebiliriz:

   #!/usr/bin/env python
   import os
   import cgi

   print("Content-type: text/html\n")
   print("<html><body>")
   print("<h1>Command Execution</h1>")
   os.system('id')  # Örnek komut
   print("</body></html>")

4. Hedefe Dosya Yükleme: Eğer yukarıdaki adımlar başarılı olduysa, bir dosya yükleme işlemi gerçekleştirebiliriz. Dosya yüklemesi için bir HTTP POST isteği hazırlanabilir:

   POST /upload_script.cgi HTTP/1.1
   Host: <hedef_domain>
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundary

   ------WebKitFormBoundary
   Content-Disposition: form-data; name="file"; filename="malicious_script.cgi"
   Content-Type: application/x-cgi

   [malicious script content]
   ------WebKitFormBoundary--

5. Elde Etme ve Kötüye Kullanım: Betik sunucuya yüklendiğinde, ona erişim sağlamalı ve çalıştırmalıyız. Bu noktada, kötü niyetli kodlarımızı çalıştırarak sunucudan veri elde edebiliriz. Belirli bir kod çalıştırıldığında, sunucuda gerçekleştirilen tüm işlemleri kontrol altına alabiliriz.

Apache HTTP Server'deki bu zayıflık, doğru yapılandırılmadığında sistem güvenliğini ciddi şekilde tehlikeye atmaktadır. Bu nedenle, sistem yöneticilerinin sunucu konfigürasyonlarını dikkatlice gözden geçirmeleri ve gerekli önlemleri almaları critical bir öneme sahiptir. Zafiyetin güncellenmiş versiyonları ve ek düzeltmeleri için CVE-2021-42013 gibi referansların takip edilmesi önerilmektedir. CyberFlow platformu ve diğer güvenlik çözümleri, bu tür zayıflıkları tespit etme ve önleme konusunda yardımcı olabilir. Unutmayın, etik hackleme (ethical hacking) faaliyetleri yaparken daima yasal sınırlar içinde kalmak esastır.

Forensics (Adli Bilişim) ve Log Analizi

Apache HTTP Server üzerindeki CVE-2021-41773 zafiyeti, siber güvenlik uzmanlarının dikkat etmesi gereken önemli bir papaz (path traversal) açığıdır. Bu açık, yetkisiz kişilerin sunucu üzerindeki dosyalara erişim sağlamasına olanak tanır ve potansiyel olarak uzaktan kod yürütme (Remote Code Execution - RCE) gibi ciddi saldırılara zemin hazırlayabilir. Özellikle dosyaların, "Alias-like" direktifleri ile yapılandırılan dizinlerin dışındaki alanlardan erişilmesine izin verildiğinde, bu riskler katlanarak artmaktadır.

Siber güvenlik uzmanları için bu tip saldırıları tespit etmek açısından olay günlüğü (log) analizi kritik bir bileşendir. Apache sunucusunun Access log ('Erişim günlüğü') ve Error log ('Hata günlüğü') dosyaları, potansiyel saldırganların sızma çabalarını ortaya çıkarmak için değerli bilgiler sağlar. Aşağıda, bu tür bir saldırının tespitinde hangi imzalara (signature) veya belirtilere (indicator) dikkat edilmesi gerektiği açıklanmaktadır.

İlk olarak, erişim günlüğü dosyalarını (access.log) incelemek önemlidir. Burada, şüpheli URL kalıpları aramak gerekir. Özellikle, aşağıdaki gibi patlak (payload) benzeri erişimler popüler işaretler arasında yer alır:

GET /../../../../etc/passwd HTTP/1.1
GET /mydir/../../../../etc/shadow HTTP/1.1

Bu tür yapılara sahip istekler, bir kullanıcının dizin traversali gerçekleştirme çabasında olduğunu gösterir. Zafiyetin istismar edilmesi sırasında, genellikle yukarıdaki gibi dizin yükseltme (directory traversal) denemeleri, sunucunun kök dizinine (root directory) erişim sağlamaya çalışılabilir.

Hata günlüğü (error.log) dosyaları da, potansiyel zafiyet istismarını tespit etmede önemli bir rol oynar. Hata kayıtları, sunucunun beklenmeyen bir dosyayı veya dizini bulamadığına dair uyarılar içerebilir. Örneğin, aşağıdaki gibi hatalar dikkat çekici olabilir:

File does not exist: /var/www/html/../../etc/passwd

Bu tür hatalar, özensiz kullanıcıların ya da kötü niyetli saldırganların zafiyetten faydalanma şansını denediklerini gösterebilir.

Gelişmiş bir analiz için, SIEM (Security Information and Event Management) sistemleri kullanılabilir. Bu sistemler, logları toplar, analiz eder ve potansiyel tehditler hakkında uyarılar oluşturur. Önceden tanımlanmış imzalara dayalı olarak, açıklıklar için standart tehdit veritabanlarına bakarak bu çeşit anormalliklerin belirlenmesi sağlanabilir. Analiz sırasında, özellikle RCE, Buffer Overflow ve Auth Bypass gibi zafiyet türlerinin izlerini aramak gereklidir.

Sonuç olarak, Apache HTTP Server üzerindeki CVE-2021-41773 zafiyeti, doğru analiz ve müdahale yöntemleriyle önlenebilir. Siber güvenlik uzmanlarının erişim ve hata günlüklerini titizlikle incelemesi, ilave güvenlik önlemleri alarak sunucuları bu tür siber saldırılardan koruması hayati önem taşır. Aynı zamanda, güncellemelerin takip edilmesi ve zafiyete ilişkin yamaların uygulanması, bu tür tehditlere karşı birinci savunma hattını oluşturur.

Savunma ve Sıkılaştırma (Hardening)

Apache HTTP Server, dünya genelinde popüler bir web sunucusu olması nedeniyle birçok güvenlik araştırmacısının dikkatini çekmektedir. Ancak, CVE-2021-41773 zafiyeti, siber saldırganların sistemlere izinsiz erişim sağlamalarına olanak tanıyan önemli bir güvenlik açığı oluşturuyor. Bu zafiyet, path traversal (yol geçişi) saldırılarına yol açarak, kötü niyetli kullanıcıların sunucunun dosya sisteminde belirtilen dizinlerin dışındaki dosyalara erişmesine olanak tanıyor.

Bu durumun daha da tehlikeli olduğu nokta, eğer dosyalar, Alias gibi direktiflerle yapılandırılan dizinlerin dışındaysa ve bu dizinler için varsayılan "require all denied" (tümünü reddet) kuralı uygulanmamışsa veya CGI (Common Gateway Interface) betikleri etkinse, uzaktan kod yürütme (RCE) riski doğuyor. Böylece saldırgan, sunucu üzerinde kötü amaçlı kod çalıştırarak sistemin kontrolünü ele geçirebilir.

Zafiyetin kapatılması için ilk adım, sunucunuzda kullanılan Apache HTTP Server sürümünün güncellenmesidir. Apache, bu zafiyet için gerekli olan yamaları yayınlamıştır ve bu yamaların uygulanması, temel bir güvenlik önlemi olarak önerilmektedir. Ancak, yalnızca güncelleme yapmak yeterli olmayabilir; ek güvenlik önlemleri almanız gerekecektir.

İlk olarak, dosya erişim kontrolünü sağlamak için yapılandırmalarınızda aşağıdaki kuralları eklemeyi düşünebilirsiniz:

<Directory /path/to/your/directory>
    Options -Indexes
    AllowOverride None
    Require all denied
</Directory>

Bu yapılandırma, belirtilen dizinde dosya listelerinin görüntülenmesini engeller ve sisteminize izinsiz erişim riskini azaltır. Ek olarak, Apache sunucunuzda CGI betiklerini kullanmanız gerekiyorsa, yalnızca güvenilir kaynaklardan gelen betikleri çalıştırdığınızdan emin olun.

Firewall (WAF) gibi ek güvenlik çözümleri kullanmak, web sunucularını korumak için etkili bir yöntemdir. WAF'ler, belirli kurallara dayalı olarak gelen trafiği izlar ve şüpheli davranışları engelleyebilir. Örneğin, aşağıdaki WAF kuralı, path traversal denemelerini tespit etmek için kullanılabilir:

SecRule REQUEST_URI "@contains .." "phase:1,deny,status:403,id:1001"

Bu kural, URL'de '..' karakter dizisini içeren istekleri tespit ederek, bu tür potansiyel saldırıları reddeder.

Kalıcı bir sıkılaştırma yaklaşımı olarak şu önerilerde bulunabiliriz:

1. Güçlü Erişim Kontrolü Uygulama: Apache yapılandırmalarında, yalnızca güvenilir IP'lere erişim izni verecek şekilde kısıtlamalar yapın.
2. Güvenlik Duvarı ve IDS/IPS Kullanımı: Gelişmiş bir güvenlik duvarı ve saldırı tespiti/önleme sistemleri ile sistemi izleyin.
3. Yardımcı Güvenlik Ürünleri: WAF, antivirüs ve malware tarayıcıları kullanarak sunucularınızı izleyin.
4. Düzenli Güncellemeler: Sunucu yazılımlarınızı ve tüm bileşenleri düzenli olarak güncelleyin. Bu, bilinmeyen güvenlik açıklarını minimize eder.
5. Log Yönetimi: Apache loglarını düzenli olarak kontrol edin ve analiz edin. Bu, anormallikleri tespit etmenize yardımcı olacaktır.

Sonuç olarak, CVE-2021-41773 zafiyeti, Apache HTTP Server kullanıcıları için ciddi tehditler barındırıyor. Bu tür güvenlik açıklarının üstesinden gelmek için, sadece güncelleme yapmakla kalmayıp, kapsamlı ve kalıcı güvenlik önlemleri almak kritik önem taşımaktadır. Unutmayın ki güvenlik, sürekli bir süreçtir ve sistemlerinizin ataklar karşısında sağlam kalması için proaktif önlemler almak gerekmektedir.