CVE-2023-0669: Fortra GoAnywhere MFT Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Fortra GoAnywhere MFT, özellikle dosya transferi ve veri yönetiminde yaygın kullanılan bir platformdur. Ancak, 2023 yılının başlarında keşfedilen CVE-2023-0669, bu yazılımın güvenliğini ciddi şekilde tehdit eden bir pre-authentication remote code execution vulnerability (ön kimlik doğrulama uzaktan kod yürütme açığı) olarak öne çıkmaktadır. Bu zafiyet, License Response Servlet’inde, saldırganın kontrolünde bir nesnenin serileştirilmesinden (deserialization) kaynaklanmaktadır.

Zafiyet, yazılımın yetkili bir kişi olmadan saldırganlar tarafından kullanılabilmesini sağlamaktadır. Bunun, sistem üzerinde arzu edilmeyen kodların çalıştırılmasına neden olabileceği açıktır. Bunun yanında, bu durum, siber güvenlikte ciddi bir soruna dönüşerek, veri ihlali ve yasadışı veri erişimi gibi daha büyük sorunların kapısını aralayabilir.

Yapılan analizler, zafiyetin özellikle büyük işletmelerin finans, sağlık ve hükümet sektörü gibi kritik alanlarda geniş çaplı etkileri olabileceğini göstermektedir. Bu sektörlerde, veri güvenliği ve gizliliği son derece önemlidir. Örneğin, bir sağlık kuruluşu, hasta verilerinin yasa dışı bir şekilde erişilmesi sonucu ciddi yasal sorunlarla karşılaşabilir. Bunun yanı sıra, finans sektöründeki bir veri ihlali, müşteri güvenini sarsar ve maddi kayıplara neden olabilir.

CWE-502 (Deserialization of Untrusted Data) gibi bir zafiyet türü, genellikle sistemler arası veri alışverişinin yapıldığı durumlarda meydana gelir. Saldırganlar, sistemin beklemediği bir nesne yapısı ile sistem üzerinde kod yürütmeyi hedefler. GoAnywhere MFT üzerindeki bu açıklığın ardında yatan teknik detaylar, çoğu zaman karmaşık olsa da, anlatılması önemlidir.

Açığın nasıl tetiklenebileceğine dair bir örnek vermek gerekirse, saldırganın sistemle başarılı bir şekilde bağlantı kurabilmesi için gerekli olan bir nesne oluşturması gereklidir. Bu nesne daha sonra sistemin yanlış bir şekilde veri alması sağlanarak, yeterli yetkilere sahip olmadan kodun yürütülmesine olanak tanır. Saldırgan, bu açığı kullanarak, sistem üzerinde çeşitli zararlı işlemler gerçekleştirebilir.

// Deserialization saldırısına örnek bir Java kodu
import java.io.*;

public class Exploit {
    public static void main(String[] args) throws Exception {
        ObjectInputStream ois = new ObjectInputStream(new FileInputStream("maliciousObject.ser"));
        MyMaliciousObject obj = (MyMaliciousObject) ois.readObject();
        obj.execute(); // Saldırgan kodun yürütülmesi
    }
}

Yukarıdaki örnek, basit bir deserialization saldırısını göstermektedir. Saldırgan, zararlı bir nesne dosyası (maliciousObject.ser) oluşturmakta ve bu nesnenin sistem üzerinde çalıştırılmasını sağlamaktadır. Bu tür bir saldırı, GoAnywhere MFT gibi bir platformda kolaylıkla tetiklenebilir.

Sonuç olarak, bu tür zafiyetler, siber güvenlik alanında sürekli bir tehdit oluşturmakta ve yeni koruma önlemlerinin geliştirilmesi gerekliliğini ortaya koymaktadır. Kuruluşlar, sistemlerini güncel tutmalı ve zafiyetlerden korunmak için sürekli izleme yapmalıdır. White Hat Hacker’ların bu tür zafiyetlerin tespit edilmesinde ve güvenlik önlemlerinin alınmasında kritik bir rol oynadığını unutmamak gerekir.

Teknik Sömürü (Exploitation) ve PoC

Fortra GoAnywhere MFT'deki CVE-2023-0669 zafiyeti, kötü niyetli bir kullanıcının sistem üzerinde uzaktan kod çalıştırmasına (RCE - Remote Code Execution) olanak tanıyan bir güvenlik açığıdır. Bu açık, License Response Servletındaki bir nesne serileştirme hatasından (deserialization) kaynaklanmaktadır. Bu tür zafiyetler, saldırganların sistemde istenmeyen komutları çalıştırmasına ve potansiyel olarak veri sızıntısına veya sistemin tamamen kontrol altına alınmasına neden olabilir.

GoAnywhere MFT, birçok organizasyonun güvenli veri transferi için kullandığı bir platformdur. Ancak bu tür zafiyetlerin varlığı, sağlayıcıların ve kullanıcıların güvenlik önlemlerini sürekli olarak gözden geçirmesi gerektiğini göstermektedir. Şimdi bu zafiyetin nasıl sömürülebileceğini adım adım inceleyelim.

Sömürü Aşamaları:

Hedef Belirleme: İlk olarak, hedef sistemin GoAnywhere MFT uygulamasını çalıştırdığından emin olmamız gerekiyor. Bunun için, uygulamanın çalıştığı sunucuya bir istek (request) gönderilir ve dönen yanıt analiz edilir.
Zafiyetin Varlığını Kontrol Etme: Hedef sistemin License Response Servlet'ine, bir HTTP GET isteği göndererek, zafiyetin mevcut olup olmadığını kontrol edin.

Örnek HTTP isteği:

   GET /goanywhere/LicenseResponseServlet HTTP/1.1
   Host: hedef-sunucu.com

Yanıt, uygulamanın sürümü ve yapılandırması hakkında bilgi verebilir. Bu aşamada, sistemin zafiyete maruz kalıp kalmadığını doğrulamak önemlidir.

Saldırı Payload’ı Hazırlama: Zafiyetin doğal bir sonucu olarak, kötü niyetli bir nesneyi serileştirmek gerekecektir. Bu nesneyi hazırlamak için aşağıdaki gibi bir Python kodu yazabiliriz:

   import pickle

   class MaliciousObject:
       def __reduce__(self):
           # Buraya çalıştırmak istediğimiz komutları yerleştiriyoruz
           return (os.system, ("id",))

   malicious_payload = pickle.dumps(MaliciousObject())

Burada, MaliciousObject sınıfını tanımlayarak kendi kötü amaçlı nesnemizi oluşturuyoruz. os.system fonksiyonu aracılığıyla belirli komutları çalıştıracağımızı belirtiyoruz.

Payload'ı Gönderme: Hazırlanan payload'ı License Response Servlet’ine istemci istekleriyle göndermemiz gerekiyor. Bu işlem sırasında, HTTP POST isteği kullanarak payload'ı sunucuya iletebiliriz.

Örnek HTTP isteği:

   POST /goanywhere/LicenseResponseServlet HTTP/1.1
   Host: hedef-sunucu.com
   Content-Type: application/octet-stream
   Content-Length: [payload_uzunluğu]

   [malicious_payload]

Sonuçları Kontrol Etme: Gönderdiğimiz payload’ın işlenmesi sonucunda, sistemde beklenen komutların çalışıp çalışmadığını kontrol edin. Eğer her şey başarılı olduysa, sistemden beklenen çıktı çıkacaktır.
Gizlilik ve İzleme: Saldırı üzerinde başarı sağlansa bile, sistemde başka izler bırakmamaya dikkat etmek önemlidir. Yani, saldırının fark edilmemesi için kaydedilen tüm faaliyetleri gizlice izlemek gerekebilir.

Gerçek dünyada bu tür bir zafiyeti sömürmek, yasal ve etik sorumluluk taşır. Ancak, bu bilgilerin yalnızca güvenlik araştırmaları için nasıl çalıştığını anlamak üzere kullanılmasını öneriyoruz. Kötü niyetle kullanılacak yöntemlerden kaçınılmalıdır. White Hat hacker perspektifiyle, her zaman güvenliğin artırılması için bilgi paylaşımı ve sistemlerin korunmasına destek vermek esastır.

Sonuç olarak, CVE-2023-0669 güvenlik açığı, Fortra GoAnywhere MFT üzerinde uzaktan kod çalıştırma (RCE) fırsatı sunarak ciddi riskler oluşturur. Sistem yöneticileri için bu tür zafiyetlerin izlenmesi ve hızlıca yamalanması, organizasyonların siber güvenliğini korumak adına kritiktir.

Forensics (Adli Bilişim) ve Log Analizi

Fortra GoAnywhere MFT üzerinde bulunan CVE-2023-0669 zafiyeti, kötü niyetli saldırganların yetkilendirme öncesinde uzaktan kod çalıştırmalarına (RCE - Remote Code Execution) olanak tanıyor. Bu güvenlik açığı, sistemin yetkilendirilmiş kullanıcıları belirlemeden önce kötü niyetli kodların çalıştırılmasına olanak sağlayarak, kullanıcıların sisteme dair kontrolünü ciddi şekilde tehdit etmekte. Özellikle kurumsal veri aktarım uygulamalarında bu tür zafiyetler, agresif saldırılara kapı aralayabilmektedir.

Saldırının etkilerini anlamak ve içgörüler elde etmek amacıyla, bir güvenlik uzmanı öncelikle sistem loglarını (günlüklerini) analiz etmelidir. Log dosyaları, herhangi bir güvenlik açığına maruz kalındığında sistemde meydana gelen olağandışı davranışları göstermekte kritik bir rol oynamaktadır. Özellikle Access log (erişim günlüğü) ve error log (hata günlüğü) dosyaları üzerinde yoğunlaşmak gerekmektedir.

Log dosyalarında dikkat edilmesi gereken bazı imzalar (signature) şunlardır:

Anormal Erişim Talepleri: Loglarda belirtilen IP adreslerinin veya kullanıcı kimliklerinin olağan dışı bir sıklıkla aynı kaynağa erişim sağlaması durumunda, bu ilk işaretlerden biri olabilir. Özellikle başka bir IP’den gelen yetkilendirilmemiş erişimler veya aynı IP adresinin kısa bir süre içinde farklı kaynaklara erişim talepleri incelemeye alınmalıdır.
Deserialization İhlal İle İlgili Hatalar: Hatanın kaynağı olan sınıf veya nesnelerin deserialization (serileştirme çözme) işlemi sırasında loglarda hata mesajları olarak yer alması muhtemeldir. Bu tür hatalar, güvenlik açığının istismar edildiğini gösterebilir. Loglarda bu tür hatalar için belirli bir örüntü aramak faydalı olabilir:

   ERROR  com.fortra.license.LicenseResponseServlet  - Deserialization vulnerability found in request

Anormal Yanıt Süreleri: Uzaktan kod çalıştırma saldırılarında, kötü niyetli bir kod çalıştırıldıktan sonra sistem yanıt sürelerinde artışlar gözlemlenebilir. Logları analiz ederek normalde beklenen yanıt süreleri ile anormal süreleri karşılaştırmak, potansiyel bir saldırıyı tespit etmede yardımcı olabilir.
Yetkisiz Erişim Denemeleri: Kötü niyetli bir kullanıcı, sistemdeki yetkisiz erişim denemelerini kayıt altına alacaktır. Bunun için loglarda "403 Forbidden" gibi erişim reddi hatalarını aramak gereklidir. Bu hatalar, sistem yöneticilerine, potansiyel bir saldırıyla ilgili daha fazla bilgi sağlayabilir.
Hedef Belirtileri: Saldırı gerçekleştirildiğinde, log içerisinde sıkça görülen belirli URL yolları veya parametreleri olabilir. Özellikle LicenseResponseServlet'e yapılmış olan ataklar belirgin hale gelecektir. Belirli parametrelerin ve yolların izlenmesi, bir model oluşturmak için kullanılacaktır.

Sonuç olarak, güvenlik uzmanlarının doğru log analizi yaparak ve bu günlüklerdeki olağandışı aktiviteleri takip ederek, CVE-2023-0669 zafiyetinin istismar edildiğini tespit etmeleri mümkündür. Siber güvenlik dünyasında her zaman bir adım önde olmak, proaktif bir yaklaşım benimsemekten geçmektedir. Log analizi ve forensics (adli bilişim) teknikleri, bu gibi durumlarla başa çıkmanın en etkili yollarından biridir.

Savunma ve Sıkılaştırma (Hardening)

Fortra GoAnywhere MFT’deki CVE-2023-0669 zafiyeti, siber güvenlik alanında ciddi tehditlere yol açabilecek bir durumdur. Bu tür uzaktan kod yürütme (RCE - Remote Code Execution) zafiyetleri, saldırganların sistem üzerinde kontrol sağlamasına ve kritik verilerin tehlikeye girmesine neden olabilir. Bu yazıda, zafiyeti kapatmaya yönelik çeşitli teknik önlemleri ele alacağız ve bu yolların nasıl uygulanabileceğine dair gerçek dünya senaryolarıyla destekleyeceğiz.

Öncelikle, zafiyetin temel nedenine değinelim. GoAnywhere MFT'de, lisans yanıt servleti kullanılarak kullanıcı kimlik doğrulaması yapılmadan, saldırganların kontrolündeki bir nesnenin serileştirilmesi gerçekleşmektedir. Bu durumda, saldırgan sistem üzerinde zararlı bir kod yürütmek için bu serileştirilmiş nesneyi kullanabilir. Bu tür durumları önlemek için öncelikle yazılım güncellemelerinin düzenli olarak yapılması önemlidir. Fortra, bu zafiyet için bir yamanın mevcut olduğunu duyurmuştur. Yazılımın en güncel sürümüne geçirilmesi, bu tür saldırılara karşı ilk savunma hattıdır.

Ayrıca, ağ güvenliğini sağlamak amacıyla alternatif bir Web Uygulama Güvenlik Duvarı (WAF - Web Application Firewall) kullanımına geçiş yapmak faydalı olacaktır. WAF, gelen ve giden trafiği izleyerek zararlı aktiviteleri engelleyebilir. WAF'ınıza ekleyeceğiniz özel kurallar ile şüpheli istekleri tespit edebilir ve zararlı yüklerin sisteminize ulaşmasını engelleyebilirsiniz. Örneğin, şüpheli HTTP isteklerini sınırlamak için aşağıdaki gibi kurallar ekleyebilirsiniz:

SecRule REQUEST_HEADERS:User-Agent "malicious_user_agent" "id:1000,phase:1,deny,status:403"
SecRule REQUEST_METHOD "POST" "chain,phase:2,deny,status:403"
SecRule REQUEST_BODY "!@rx (valid_input)" "t:none"

Bu kurallar, kullanıcının belirtilen kötü niyetli kullanıcı ajanını veya uygunsuz POST isteklerini tespit ettiğinde, bu trafiği engelleyerek sisteminizi koruyacaktır.

Kalıcı sıkılaştırma (hardening) önerilerine gelince, sistem yapılandırmalarının iyileştirilmesi önemlidir. Özellikle, gereksiz hizmetlerin devre dışı bırakılması, yazılımların yalnızca gerekli ekipmanlar üzerinde çalıştırılması ve erişim kontrollerinin sıkı bir şekilde uygulanması gerekmektedir. Sunucularınızda en son güncellemeleri ve yamaları kurarak sisteminizin güvenliğini artırabilirsiniz. Aşağıdaki gibi bir komut ile sunucunuzdaki yazılımları güncelleyebilirsiniz:

sudo apt-get update &amp;&amp; sudo apt-get upgrade

Bunun dışında, izinleri en az ayrıcalık ilkesi doğrultusunda düzenlemek de büyük öneme sahiptir. Kullanıcı hesapları ve grupları için yalnızca ihtiyaç duyulan izinlerin verilmesi, saldırganların sistem üzerinde çeşitli yetkiler elde etmesini zorlaştırır.

Ayrıca, uygulama güvenliğinin artırılması amacıyla, yazılımlar arasında ortam ayrımı yapılması da faydalı bir yaklaşımdır. Üretim ve test ortamlarının birbirinden ayrı tutulması, zararlı kodların canlı sistemlere ulaşmasını engelleyebilir.

Sonuç olarak, CVE-2023-0669 zafiyeti, Fortra GoAnywhere MFT kullanıcıları için ciddi bir tehlike oluşturmuştur. Ancak, yukarıda belirtilen teknik sıkılaştırma ve savunma stratejileri ile bu tehdide karşı koymak mümkündür. Sistem yöneticilerinin proaktif olması, yazılımlarını güncel tutması ve zararlı trafiğe karşı gerekli önlemleri alması, bu tür zafiyetlerin etkilerini en aza indirebilir. Unutulmamalıdır ki, siber güvenlik bir süreçtir ve sürekli gelişim gerektirir.