CVE-2022-28810: Zoho ManageEngine ADSelfService Plus Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Zoho ManageEngine ADSelfService Plus, kullanıcıların şifrelerini değiştirmeleri veya sıfırlamaları için tasarlanmış bir yazılımdır. Ancak, 2022 yılında keşfedilen CVE-2022-28810 kodlu zafiyet, bu ürünün güvenliğini ciddi şekilde tehdit eden bir uzaktan kod yürütme (RCE - Remote Code Execution) açığı olarak kaydedilmiştir. Bu zafiyet, saldırganların sisteme kötü niyetli kod enjekte etmesine ve sistem üzerinde tam yetkilere sahip olmasına olanak tanır.

Bu tür uzaktan kod yürütme zafiyetleri genellikle uygulama bileşenlerindeki hatalardan kaynaklanır. CVE-2022-28810 zafiyeti, şifre değiştirme veya sıfırlama işlemleri sırasında meydana gelmektedir. Saldırganlar, bu fonksiyonlar aracılığıyla sistemin kontrolünü ele geçirebilirler. Özellikle, hattın belirli bir kütüphanesinde yaşanan bir hata, kullanıcı girdilerinin yeterince hijyenik bir şekilde işlenmemesinden kaynaklanmaktadır. Bu durum, bir saldırganın kötü amaçlı komutlar göndermesine ve kullanıcı hesaplarına erişim sağlamasına olanak tanır.

Dünya genelinde birçok sektörü etkileyen bu zafiyet, özellikle finans, eğitim, sağlık gibi kritik alanlarda ciddi sorunlara yol açabilir. Örneğin, bir eğitim kurumunun öğrenim yönetim sistemi üzerinden saldırıya uğraması, öğrenci kayıtları, notlar ve kişisel bilgilerin ifşa olmasına neden olabilir. Benzer şekilde, bir sağlık kuruluşu üzerinden gerçekleştirilen bir saldırı da, hasta verilerinin kötüye kullanılmasına sebep olabilir. Dolayısıyla, bu zafiyetin ortaya çıkması, tüm bu sektörler için büyük riskler taşımaktadır.

CVE-2022-28810 zafiyetinin tarihçesi incelendiğinde, bu tür uzaktan kod yürütme problemlerinin sıklıkla benzer hatalardan kaynaklandığı görülmektedir. Örneğin, buffer overflow (tampon taşması) veya authentication bypass (kimlik doğrulama atlaması) gibi zafiyet türleri, geliştiricilerin uygulama kodlarında eksik önlemler alması sonucu ortaya çıkar. Zoho'nun bu boşluğu hızlı bir şekilde kapatmak için güncellemeler yayınlaması da, güvenlik topluluğu açısından önemli bir adımdır.

Geliştiricilerin bu tür zafiyetlere karşı dikkatli olmaları, uygulama geliştirme süreçlerinde güvenlik kontrollerini titizlikle sağlamaları ve kullanıcı girdilerini uygun bir şekilde sterilize etmeleri gerekmektedir. Yazılım sistemleri geliştirirken güvenlik açılarının göz ardı edilmesi, gelecekte daha büyük problemlere yol açabilir.

Sonuç olarak, CVE-2022-28810 zafiyeti, uzaktan kod yürütme (RCE) sorunlarının yazılımlar üzerindeki etkilerini vurgulayan çarpıcı bir örnektir. Geliştiricilerin ve sistem yöneticilerinin bu tür tehditler karşısında proaktif olmaları, yazılımlarını güncel tutmaları ve kullanıcılara güvenlik konusunda farkındalık sağlamak için eğitimler düzenlemeleri önemlidir. Bu şekilde, benzer zafiyetlerin etkileri asgariye indirilebilir ve sistemler daha güvenli hale getirilebilir.

Teknik Sömürü (Exploitation) ve PoC

Zoho ManageEngine ADSelfService Plus, kullanıcıların şifrelerini değiştirmeleri veya sıfırlamaları sırasında uzaktan kod yürütme (RCE - Remote Code Execution) açığına sahip. Bu tür zafiyetler, saldırganların sistem üzerinde kötü amaçlı komutlar çalıştırmasına olanak tanır ve bu durum, büyük güvenlik riskleri doğurur. Bu makalede, bu zafiyeti sömürme sürecini adım adım inceleyeceğiz.

Öncelikle, zafiyetin çalışma mantığını anlamak önemlidir. Zoho ManageEngine ADSelfService Plus'ın sunucusunda gerçekleştirilecek bir şifre sıfırlama veya değiştirme işlemi sırasında, belirli bir noktada kullanıcıdan alınan veriler yeterince doğrulanmamaktadır. Bu, saldırganların kötü amaçlı veriler göndermesiyle sistemin zararlı kod yürütmesine yol açar.

Sömürme sürecinin ilk adımı, hedef sistemdeki zafiyeti belirlemektir. Hedef uygulamanın URL'sini alarak, şifre sıfırlama isteği göndermeye hazırlanabiliriz. Aşağıda bir HTTP istemcisi (curl gibi) ile örnek bir şifre sıfırlama isteği verilmiştir:

curl -X POST 'http://hedef-sunucu:port/ADSelfServicePlus/user/passwordReset' \
-H 'Content-Type: application/json' \
-d '{"username":"kullanici_adi","new_password":"yeni_sifre","confirm_password":"yeni_sifre"}'

Burada 'new_password' alanına, belirli payloadları ekleyerek uzaktan kod yürütmeyi hedefleyeceğiz. Örneğin, aşağıdaki gibi bir payload kullanabiliriz:

{"username":"admin","new_password":"_newPassword;system('id');","confirm_password":"_newPassword;system('id');"}

Bu payload, UNIX tabanlı bir sistemde, id komutunun çalıştırılmasına neden olur ve bu bize sistemdeki mevcut kullanıcıların kim olduğunu gösterecektir.

Sıradaki adım, başarılı bir şekilde boş bir kullanıcı parçası gönderdiğimizde sunucunun nasıl tepki verdiğini gözlemlemektir. Eğer sunucu herhangi bir hata vermeden başarılı bir şekilde parolayı değiştirdiğini onaylarsa, o zaman kod yürütme (code execution) testini gerçekleştirebiliriz. Bunun için, zararlı kodu „new_password“ değişkenine enjekte edebiliriz.

Aşağıda, doğal bir Python betik taslağı ile uzaktan kod yürütmeyi denemeye yönelik örnek bir exploit bulunmaktadır:

import requests

url = 'http://hedef-sunucu:port/ADSelfServicePlus/user/passwordReset'
payload = {
    'username': 'admin',
    'new_password': '_newPassword;system(\'whoami\');',
    'confirm_password': '_newPassword;system(\'whoami\');'
}
response = requests.post(url, json=payload)

if 'Başarıyla' in response.text:
    print("Kod başarıyla yürütüldü!")
else:
    print("Başarısız oldu.")

Bu gibi bir exploit ile, sistemdeki kullanıcıların kimliği ve yetkileri alınabilir. Ancak, burada önemli olan nokta, hedef sistemde olup olmadığını doğrulamak ve izinsiz erişim/bilinçli olarak saldırı yapmamak. Bu tür testleri yalnızca hedef sistemin sahibi izni ile gerçekleştirmek gerekiyor. Diğer bir deyişle, etik hacker (White Hat Hacker) perspektifinden bakıldığında, bu testler sadece zafiyetlerin belirlenmesi ve güvenlik açıklarının kapatılması amacıyla yapılmalıdır.

Sonuç olarak, RCE (uzaktan kod yürütme) açığı son derece kritik bir zayıflıktır ve yukarıda belirtilen teknik yöntemlerle bu zafiyetten yararlanmak mümkündür. Geliştiricilerin ve güvenlik profesyonellerinin, bu tür zayıflıkları ortadan kaldırmak için gerekli önlemleri almaları ve sürekli olarak uygulamaların güvenlik güncellemelerini takip etmeleri önemlidir. Unutulmamalıdır ki, etik hackerlık, her zaman kullanıcı verilerini koruma ve siber dünyada daha güvenli bir ortam oluşturma hedefi taşır.

Forensics (Adli Bilişim) ve Log Analizi

Zoho ManageEngine ADSelfService Plus üzerindeki CVE-2022-28810 zafiyeti, siber güvenlik alanında önemli bir uzmanın dikkat etmesi gereken bir konudur. Bu zafiyet, uzaktan kod yürütme (RCE - Remote Code Execution) yeteneği sunarak saldırganların sistemde kötü niyetli kod çalıştırmasına olanak tanımaktadır. Bu durum, kullanıcıların parolasını değiştirdiği veya sıfırladığı süreçte gerçekleştiği için, saldırganlar bu anı fırsat olarak kullanabilir.

Siber güvenlik uzmanları olarak, bu tür zafiyetlerin etki alanlarını anlamak ve onları saptamak için yeteneklerimizi geliştirmemiz gerekli. Adli bilişim (forensics) ve log analizi, olası saldırıların tespit edilmesinde kritik bir rol oynar. Şimdi, bu zafiyetin nasıl istismar edilebileceği ve uzmanların SIEM (Security Information and Event Management) ya da log dosyalarında hangi imzalara (signature) dikkat etmesi gerektiğine odaklanalım.

Gerçek dünya senaryosunda, bir kurumun Zoho ManageEngine ADSelfService Plus kullanırken CVE-2022-28810 zafiyetine maruz kaldığını düşünelim. Kullanıcılar, parolalarını sıfırlamaya çalıştığında, kötü niyetli bir saldırgan olayları izleyerek bir RCE istismarını gerçekleştirebilir. Bu tür saldırıların izini sürmek için, ilgili log dosyalarını ve SIEM sistemlerini okumak gerekir.

Öncelikle, "Access log" (erişim günlüğü) dosyaları, sistemdeki tüm kullanıcı faaliyetlerini kaydeder. Bu kayıtların kullanıcı kimlik bilgileri, IP adresleri ve IP adreslerinin değişikliği gibi önemli bilgileri içerdiği için, log analizi yaparken bunları dikkatlice incelemek gerekmektedir. Şüpheli IP adresleri veya kullanıcı işlemlerinin anormal sıklıkta gerçekleşmesi, potansiyel bir saldırıya işaret edebilir. Özellikle, şifre sıfırlama (password reset) işlemlerini izlemek önemlidir. İşte bu aşamada örnek bir log kaydı verebiliriz:

2023-10-20 14:32:14 [INFO] User 'john.doe' initiated password reset from IP 192.168.1.10
2023-10-20 14:32:16 [WARNING] Potential RCE attempt detected for user 'john.doe' from IP 192.168.1.105

Yukarıdaki logda, bir kullanıcının (john.doe) şifre sıfırlama talep ettiği, ardından aynı işlemi yaparken farklı bir IP adresinden (192.168.1.105) şüpheli bir girişim olduğu gözlemlenmektedir. Bu durum, bir kimlik atlatma (auth bypass) girişimi veya potansiyel bir zafiyet istismarı için bir işaret olabilir. Dolayısıyla, bu tür log girişimlerine dikkat edilmesi gerekir.

Log dosyalarında dikkat edilmesi gereken bir diğer önemli nokta ise "Error log" (hata günlüğü) kayıtlarıdır. Sistem anormal durumlar yaşadığında hata kayıtları oluşturur ve bu, saldırganların sistemdeki zafiyetleri istismar ettiğine dair ipuçlarını ortaya koyabilir. Sık sık tekrarlanan hata mesajları veya belirli bir işlemle ilgili belirli hataların kaydedilmesi, adli bilişim uzmanlarının sisteme yönelik tehditleri tanımasına yardımcı olabilir.

Sonuç olarak, bir siber güvenlik uzmanı olarak, CVE-2022-28810 zafiyetini tespit etmek için log analizi yaparken şunlara dikkat edilmelidir: Parola sıfırlama girişimleri, kullanıcıların davranışlarındaki anormallikler, şüpheli IP adresleri ve hata kayıtlarındaki anomali. Bu tür sistematik incelemeler, siber saldırılara karşı alarm durumunu artırır ve güvenlik yöneticilerinin gerekli önlemleri almasına olanak tanır.

Savunma ve Sıkılaştırma (Hardening)

Zoho ManageEngine ADSelfService Plus üzerindeki CVE-2022-28810 zafiyeti, uzaktan kod yürütme (RCE) imkanı sunan bir güvenlik açığıdır. Bu açık, kötü niyetli bir kullanıcının şifre değişikliği veya sıfırlama işlemleri sırasında sistemde zararlı kod çalıştırmasına olanak tanır. Uzaktan kod yürütme (RCE) saldırıları, hackerların sistemlere erişim elde etmelerinin en yaygın yollarından biridir ve bu durum, bir saldırganın ağ üzerinde tam kontrol sağlamasına olanak verir. Örneğin, bir saldırganın, kurbanın şifre sıfırlama isteği üzerinden kötü amaçlı bir kod yükleyerek, sistem kaynaklarını ele geçirecek şekilde tasarladığı bir payload ile zararlı bir eylem gerçekleştirebilir.

Bu tür bir zafiyetin istismarını önlemek için birkaç katmanlı savunma mekanizması oluşturmak önemlidir. İlk adım olarak, kullanılmakta olan uygulamanın sürümünü kontrol etmek ve mevcut güncellemeleri yüklemek kritik bir adımdır. Zoho, genellikle ürünleri için güncellemeler sağlar ve bu güncellemeler, bilinen zafiyetleri kapatmak için tasarlanmıştır. Ayrıca, bir firewall (WAF) konfigürasyonu yaparak, beklenmeyen veya şüpheli istekleri filtrelemek mümkündür. Örneğin, aşağıdaki gibi kurallar ekleyerek zararlı kod yürütme girişimlerini engelleyebilirsiniz:

SecRule REQUEST_HEADERS:User-Agent "malicious-user-agent" "id:10001,phase:1,deny,status:403"
SecRule ARGS "exec|system|shell_exec|passthru" "id:10002,phase:2,deny,status:403"

Yukarıdaki kurallar, belirli kullanıcı ajanlarını ve potansiyel olarak zararlı argümanları engellemek açısından işlevseldir. Bu şekilde, uygulama sunucunuza gelen isteklerin güvenliğini artırarak, olası saldırıların etkisini azaltabilirsiniz.

İkinci bir önlem olarak, güçlü kimlik doğrulama yöntemlerinin uygulanması önerilir. Netikent ile ilgili olarak, iki faktörlü kimlik doğrulama (2FA) sistemini entegre etmek, zararlı bir kullanım senaryosunu önemli ölçüde zorlaştırabilir. Böylece, bir saldırgan sadece şifre bilgisine sahip olsa bile, ek bir doğrulama katmanını geçmek zorunda kalacaktır.

Sistem düzeyinde bir dizi sıkılaştırma adımı da düşünülebilir. Örneğin, uygulama sunucularında sadece gerekli olan hizmetlerin açık olduğundan emin olunmalıdır. Kullanılmayan portların kapatılması ve minimum gerekli hizmetlerin sunulması, dışarıdan yapılabilecek saldırılara karşı bir kalkan oluşturur. Ayrıca, uygulamanın log kayıtları düzenli olarak izlenmeli ve olağan dışı aktiviteler için anlık alarmlar kurulmalıdır. Örneğin:

tail -f /var/log/manageengine/adselfservice.log | grep -i 'error'

Bu komut, log dosyalarındaki hataları gerçek zamanlı olarak izleyebilmenizi sağlar. Özellikle hatalı şifre denemeleri veya şüpheli hesap sıfırlama talepleri, hızlı bir şekilde ele alınmalıdır.

Son olarak, uygulama güvenliği testleri de sıklıkla yapılmalıdır. Penetrasyon testleri ve iç denetimler, olası güvenlik açıklarını bulmak ve gidermek adına son derece önemlidir. Özellikle, yeni güncellemeler yapıldığında, bu testlerin yeniden gerçekleştirilmesi önerilir.

CVE-2022-28810 zafiyeti, kritik bir tehlike oluşturmasına rağmen, doğru önlemler alındığında etkisiz hale getirilebilir. Sıkılaştırma, güncellemeler, WAF kullanımı ve güçlü kimlik doğrulama uygulamaları ile bu tür saldırılara karşı koymak mümkündür. Bu, sadece Zoho ManageEngine ADSelfService Plus uygulaması için değil, genel olarak tüm uygulama ve sistem güvenliği için geçerlidir. Bu tür açıkları kapatmak, ağ güvenliğini artırmanın yanı sıra, işletmelerin itibarını koruma adına da hayati önem taşır.