CVE-2023-36844: Juniper Junos OS EX Series PHP External Variable Modification Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Juniper Junos OS üzerinde var olan CVE-2023-36844 zafiyeti, özellikle EX Serisi cihazlarda karşımıza çıkan dikkat çekici bir güvenlik açığıdır. Bu zafiyet, PHP dış değişkenlerinin (PHP external variables) değiştirilmesine olanak tanır. Özellikle anlaşıldığı üzere, zafiyeti kullanabilen bir saldırgan, istenmeyen bir şekilde kritik ortam değişkenlerini (environment variables) kontrol edebilir. Bu tür bir durum, anında sistemin bütünlüğünü zayıflatmakta ve daha fazla saldırıya zemin hazırlamaktadır.

Güvenlik açığının temelinde, PHP’nin yapılandırması ve bu yapılandırma aracılığıyla gelen isteklerin işlenmesi sırasında yaşanan bir hata yatmaktadır. Zafiyet, belirli bir PHP kütüphanesinin yetersiz bir kontrol uygulamasından kaynaklanmaktadır. Söz konusu kütüphane, dışarıdan gelen veri kontrolünü sağlamamakta ve bu da bir saldırganın belirli PHP değişkenlerini değiştirmesine olanak tanımaktadır. Bu tarz bir zafiyet, istismar edilebildiği takdirde, daha büyük tehditler doğurabilecek başka güvenlik açıklarının kapısını aralayabilir. Örneğin, bir RCE (Remote Code Execution - Uzaktan Kod Yürütme) açığına ya da oturum yetkisi bypassı (Auth Bypass) yaparak kullanıcı oturumlarını ele geçirmeye giden bir yol açabilir.

Gerçek dünya senaryolarına bakacak olursak, bu tür bir zafiyet çoğunlukla kötü niyetli bir aktör tarafından kullanılabilir. Düşünün ki bir kurum, büyük miktarda veri işleyen bir ağ altyapısına sahip. Bu altyapı, EX serisi Juniper cihazları ile yönetiliyor. Bir saldırgan, belirli bir HTTP istek gönderip PHP değişkenlerini manipüle ettiğinde, sistemin bazı kritik noktalarına erişim elde edebilir. Böyle durumlarda, ağa bağlı diğer sistemlerdeki bilgilerin güvenliği de tehlikeye atılabilir. Örneğin, uygun başka bir zafiyete (örneğin, Buffer Overflow - Tampon Taşması) ihtiyaç duyulmaksızın, bu zafiyet aracılığıyla başka bir saldırı türüne geçiş yapabilir.

Dünya genelinde, bu zafiyet esas olarak finans, sağlık ve enerji sektörlerinde önemli sonuçlar doğurabilir. Örneğin, finans sektöründe, bir bankanın ağına sızmak isteyen bir saldırgan, kullanıcı verilerini veya işlem bilgilerini çalmak amacıyla bu zafiyeti istismar edebilir. Sağlık sektöründe ise, hasta bilgilerinin ve önemli veri tabanlarının güvenliği kompromize edilebilir, bu da ciddi yasal ve finansal sonuçlar doğurur. Enerji sektöründe ise, sistemlerin manipüle edilmesi, büyük ölçekli hizmet kesintilerine, hatta fiziksel tehlikelere yol açabilir.

Sonuç olarak, CVE-2023-36844 zafiyeti, sadece Juniper EX Serisi cihazları için kritik bir tehdit oluşturmaktadır. Zafiyetin kötüye kullanılmasını önlemek için gerekli önlemler alınmalı ve düzenli olarak güncellemeler yapılmalıdır. Ağ güvenliği uzmanları ve etik hackerlar, bu tür zafiyetleri tespit etmek ve itibar kaybını önlemek amacıyla sürekli olarak sistemlerini gözden geçirmelidir.

Teknik Sömürü (Exploitation) ve PoC

Juniper Junos OS üzerindeki EX Series cihazlarında bulunan CVE-2023-36844 güvenlik zafiyeti, bir PHP dış değişkeninin değiştirilmesine olanak tanıyan bir açığı ifade eder. Bu zafiyet, kimliği doğrulanmamış bir saldırganın, bazı önemli ortam değişkenlerini kontrol etmesine imkan tanır. Aşağıda, bu açığın teknik sömürü aşamaları ve potansiyel bir Proof of Concept (PoC) örneği paylaşılmaktadır.

Bu zafiyetin sömürülmesi için bir dizi adım izlenmesi gerekmektedir:

İlk olarak, hedef sistemin ortam bilgilerini öğrenmek önemlidir. Aşağıdaki HTTP örneği, bir GET isteği ile hedef cihazdan bazı değişkenlerin alınmasını sağlar:

GET /index.php HTTP/1.1
Host: hedef_ip_adresi

Cevap olarak, PHP'nin mevcut ortam değişkenlerini döndürmesini sağlayarak, hangi değişkenlerin değiştirilebileceği hakkında bilgi toplayabilirsiniz.

İkinci aşama, değiştirilebilir değişkenleri tespit ettikten sonra, bu değişkenleri manipüle etmek amacıyla özel bir istek hazırlanmasıdır. Örneğin, bir ortam değişkenini değiştirmek amacıyla aşağıdaki gibi bir POST isteği kullanılabilir:

POST /index.php HTTP/1.1
Host: hedef_ip_adresi
Content-Type: application/x-www-form-urlencoded

variable_name=value

Bu örnekte variable_name, değiştirmek istediğiniz ortam değişkeninin adıdır ve value ise yeni değerdir. Eğer sistemin zaafiyetten etkilenip etkilenmediğini kontrol etmek istiyorsanız, bu isteğin yanıtında değişikliğin yansıyıp yansımadığını gözlemlemelisiniz.

Üçüncü aşama, bir PHP komutunu ortam değişkenlerine enjekte ederek, arka planda çalıştırmaktır. Bunun için, önceden belirlenmiş bir PHP betiği hazırlanabilir. Aşağıda örnek bir PHP kodu verilmiştir:

&lt;?php
// user_defined_function: Kullanıcının tanımladığı fonksiyon
function user_defined_function() {
    return shell_exec("whoami");
}

echo user_defined_function();
?&gt;

Bu tür bir betik, değiştirilen bir ortam değişkeni aracılığıyla çalıştırıldığında, hedef sistemdeki kullanıcı adını gösterebilir. Özellikle kötü niyetli bir saldırgan, bu tekniği başka açılarla birleştirerek uzaktan kod yürütme (RCE) veya buffers overflow gibi diğer istismar yöntemlerine zemin hazırlayabilir.

Sonuç olarak, CVE-2023-36844 zaafiyeti, belirli PHP ortam değişkenlerinin değiştirilmesine olanak tanıyan bir güvenlik açığıdır. Bu açık, ek istismar yolları açarak daha büyük problemlere yol açabilir. White Hat hacker’lar olarak, bu tür güvenlik açıklarını tespit edip raporlamak, sistemlerin güvenliğini artırmak adına kritik öneme sahiptir. Unutulmamalıdır ki, bu tür bilgiler sadece koruma ve güvenlik bilinci oluşturmak amacıyla kullanılmalıdır. Sızma testleri gerçekleştirirken etik kurallara uyulması son derece önemlidir.

Forensics (Adli Bilişim) ve Log Analizi

Juniper Junos OS üzerinde bulunan CVE-2023-36844 zafiyeti, PHP dış değişkenlerini değiştirme yeteneği sağlayarak bir saldırgana önemli ortam değişkenlerini kontrol etme imkanı sunar. Bu durum, özellikle doğrulanmamış, ağ üzerinden gerçekleştirilen saldırılar için ciddi bir tehdit oluşturmakta. Açık bir sistemin hedef alınması, siber güvenlik uzmanlarının dikkat etmesi gereken belirgin izler bırakabilmektedir.

Saldırının tespit edilmesi için SIEM (Security Information and Event Management) sistemleri ve log dosyalarının detaylı analizi gereklidir. Özellikle, Access log (erişim günlükleri) ve Error log (hata günlükleri) gibi dosyalar üzerinde çalışarak, saldırının izlerini tespit etmek mümkündür. Örneğin, olağan dışı erişim denemeleri veya hatalı istekler, PHP dış değişkenlerinin kötüye kullanılmasıyla bağlantılı olabilir.

Erişim günlükleri, genellikle bir saldırganın hedef sisteme gönderdiği isteklerin kaydını tutar. Belirli HTTP yöntemleri (GET, POST) ile sunucuya atılan isteklerde anormal bir artış gözlemleniyorsa, bu şüpheli hareket olarak değerlendirilmelidir. Örneğin:

192.168.1.10 - - [27/Oct/2023:14:35:12 +0000] "POST /vulnerable_script.php HTTP/1.1" 200 4526 "http://malicious-site.com" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.0.0 Safari/537.36"

Bu tür log kayıtları, sistemde potansiyel bir zafiyet istismarı olduğuna işaret edebilir. Özellikle isteğin kaynağındaki IP adresinin tanıdık olmaması veya isteğin belirli bir kalıptan sapması, potansiyel bir saldırıyı gösteren izlerdir.

Error log dosyaları ise, sistemde meydana gelen hataların detaylarını tutar. Bu günlükler, özellikle PHP hataları ve istisnaları için çok değerlidir. Örneğin, bir dış değişkenin beklenmedik bir şekilde kullanılması durumunda, şu şekilde bir hata mesajı alınabilir:

[Fri Oct 27 14:35:13.123456 2023] [php:error] [pid 1234] [client 192.168.1.10:12345] PHP Notice: Undefined index: ENV_VARIABLE in /path/to/vulnerable_script.php on line 42

Bu tür hatalar, sistemin bir PHP dış değişkeninin değiştirilmesi ile karşılaştığını gösterir. Saldırgan, bu değişken üzerinde kontrol sağladıysa, uygulamanın diğer bileşenlerini de etkileyebilecek bir RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) durumu oluşturabilir.

Log analizi yaparken, siber güvenlik uzmanları aşağıdaki imzalara dikkat etmelidir:

Olağanın Dışında İstemci IP'leri: Bilinen ve güvenilir IP'ler dışında gelen istekler.
Anormal HTTP Yöntemleri: Sistemin beklemediği HTTP istekleri ya da tipik akışın dışındaki yöntemlerin kullanılması.
Anomalik Hata Kayıtları: Özellikle "Undefined index" gibi PHP hataları.
Tekrar Eden İstekler: İstismara yönelik birden fazla tekrarlanan istek.

Bu kriterlere dayanarak, bir saldırının tespit edilmesi ve analiz edilmesi, siber güvenlik uzmanlarının işlerini kolaylaştıracaktır. Unutulmamalıdır ki, siber tehditler sürekli evrim geçirirken, log ve SIEM sistemlerinin düzenli analizi, güvenlik zafiyetlerini önlemek için hayati öneme sahiptir.

Savunma ve Sıkılaştırma (Hardening)

Juniper Junos OS üzerinde bulunan CVE-2023-36844 açığı, EX Series cihazlarında PHP dış değişken modifikasyon (modification) zafiyeti sunarak, saldırganların bazı önemli ortam değişkenlerini kontrol etmesine olanak tanımaktadır. Bu zafiyet, kimlik doğrulaması olmayan bir ağ tabanlı saldırganın, kötü niyetli olarak hazırlanmış isteklerle belirli PHP ortam değişkenlerini değiştirmesine imkan verir. Bu durum, kısmi bir bütünlük kaybına yol açarak başka zafiyetlerle birleştirme (chaining) olasılığını artırmaktadır.

CVE-2023-36844 açığının istismar edilmesi, sistemin bütünlüğünü tehlikeye atabilir. Örneğin, saldırganlar başarılı bir şekilde bu zafiyeti kullanarak, başka kritik zafiyetler üzerinde avantaj sağlayabilirler. Bu durumda, sistem yöneticileri için önemli olan, bu açığı kapatmak ve genel güvenlik duruşunu güçlendirmek için sıkılaştırma (hardening) önlemleri almaktır.

Öncelikle, bu açığın kapatılması için yazılım güncellemeleri büyük önem taşır. Juniper, CVE-2023-36844 için bir güncelleme yayınlayacaksa, bu güncellemelerin uygulanması elzemdir. Ancak sadece yazılım güncellemeleri ile sınırlı kalmamak gerekir. Aşağıdaki ek sıkılaştırma önerileri, güvenlik önlemlerinin artırılmasına yardımcı olabilir.

Güvenlik Duvarı (Firewall) ve Web Uygulama Güvenlik Duvarı (WAF) Ayarları: Ağ üzerinden gelen trafiği kontrol etmek ve kötü niyetli istekleri engellemek için, uygun firewall ve WAF kurallarının tanımlanması gerekmektedir. Örneğin, belirli kaynak IP adreslerinden gelen istekleri kısıtlayarak yalnızca güvenilir kaynaklardan gelen trafiğin kabul edilmesini sağlamak faydalı olabilir. Ayrıca, SQL enjeksiyonu (injection) ve XSS gibi yaygın saldırı vektörlerini engelleyen WAF kuralları eklemek de gerekiyor.

   SecRule REQUEST_METHOD "POST" "id:10002, phase:2, deny, status:403"
   SecRule ARGS:ENV_VARIABLE "@rx .*" "id:10003, phase:2, deny, status:403"

Yukarıdaki örnek, POST isteklerini ve belirli ortam değişkenlerini kontrol eden WAF kurallarını içermektedir.

PHP Konfigürasyonu: PHP yapılandırma dosyası (php.ini) üzerinde güvenlik ayarları yapmak, bu zafiyeti azaltmak için önemlidir. register_globals özelliğini devre dışı bırakmak ve allow_url_fopen gibi potansiyel tehlike içeren özellikleri kapatmak, sistemin güvenliğini artırır.

   register_globals = Off
   allow_url_fopen = Off

Erişim Kontrolü ve Yetkilendirme: Kullanıcı erişimlerini dikkatlice yönetmek, özellikle kritik sistem bileşenlerine erişim izni vermek açısından önemlidir. İzinlerin en aza indirilmesi (least privilege) ve güvenli parola kullanımı gibi önlemler, sistemin ilk savunma hattını oluşturur.
Güvenlik İzleme ve Günlükleme: Olası kötü niyetli aktiviteleri tespit etmek için, sistem üzerinde kapsamlı bir güvenlik izleme ve günlükleme sistemi kurmak önemlidir. Anormal trafik davranışları veya beklenmedik hata mesajları kayıt altına alınmalı ve sürekli gözlemlenmelidir.
Eğitim ve Farkındalık: Sistem yöneticileri ve operatörler için siber güvenlik eğitimleri düzenlemek, potansiyel tehditlere karşı hazırlıklı olmalarını sağlar. Ayrıca, güncel güvenlik zafiyetleri hakkında bilgi sahibi olmaları, daha etkili önlemler almalarına yardımcı olacaktır.

Sonuç olarak, Juniper Junos OS üzerindeki CVE-2023-36844 açığının etkilerinden kaçınmak için, yukarıda belirtilen tüm önlemlerin uygulanması kritik öneme sahiptir. Sadece açıkların kapatılması değil, aynı zamanda genel güvenlik duruşunun güçlendirilmesi gerekmektedir. Unutulmamalıdır ki, siber güvenlik sürekli bir süreçtir ve her zaman güncel kalmayı gerektirir.