CVE-2023-36847 · Bilgilendirme

Juniper Junos OS EX Series Missing Authentication for Critical Function Vulnerability

Junos OS üzerindeki zafiyet, yetkisiz yükleme ile dosya sistemi bütünlüğünü tehdit ediyor.

Üretici
Juniper
Ürün
Junos OS
Seviye
yüksek
Yayın Tarihi
02 Nisan 2026
Okuma
8 dk okuma

CVE-2023-36847: Juniper Junos OS EX Series Missing Authentication for Critical Function Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Juniper Junos OS üzerinde bulunan CVE-2023-36847, EX Serisi cihazlar için kritik bir güvenlik açığıdır. Bu zafiyet, kimlik doğrulama (authentication) gerektirmeyen kritik bir işlevin eksikliğinden kaynaklanmaktadır. Özellikle, J-Web arayüzündeki installAppPackage.php dosyasında gerçekleşen bu durum, saldırganların uzaktan ve kimlik doğrulaması olmaksızın sınırlı bir etki ile dosya sistemi bütünlüğünü ihlal etmelerine olanak tanımaktadır.

Zafiyet, 2023 yılının Ağustos ayında keşfedilmiş ve hemen ardından güvenlik açıklarının değerlendirilmesi süreci başlamıştır. Yapılan analizler sonucunda, saldırganların belirli bir istek göndererek (HTTP Request) sistemlerine zararlı dosyalar yükleyebileceği tespit edilmiştir. Böylece, dosya sisteminin bir bölümünde bütünlük kaybı yaşanabilir ve bu durum, diğer potansiyel zafiyetlerin istismar edilmesine zemin hazırlayabilir. Bu tür bir durum, siber güvenlik açısından son derece kritiktir. Saldırganlar, bu zafiyeti kullanarak sistem üzerinde tam kontrol (Remote Code Execution - RCE) elde etme, verileri çalma veya başka zararlı eylemler gerçekleştirme imkanına sahip olabilirler.

Zafiyetin mevcut kütüphaneye olan etkisi, Juniper Junos OS’un kendisinde bulunan belgelenmemiş fonksiyonlar (critical functions) ile ilişkilidir. Özellikle, eksik kimlik doğrulama mantığı, bu dosya yükleme gibi kritik işlevlerin gerekli önlemler olmadan çalışmasına olanak sağlamaktadır. 2000'li yılların başından itibaren artan siber tehditler, özellikle finans ve sağlık sektörleri gibi kritik alanlarda büyük endişelere yol açmıştır. Bu tür cihazların saldırı altına girmesi, veri kaybı, sistem çökmesi ve mali zararlar gibi sonuçlar doğurabilir.

Gerçek dünya senaryolarında, bir saldırganın bu zafiyeti kullanarak ağa sızması sonucunda, sadece bir dosya yükleme ile sınırlı kalmayabilir. Saldırgan, daha sonra dosya sistemindeki diğer güvenlik açıklarını (Buffer Overflow, Auth Bypass gibi) istismar ederek, sistemin tamamen kontrolünü eline alabilir. Özellikle büyük ölçekli işletmelerde bu tür cihazlar, ağın bel kemiğini oluşturarak kritik işlevlerin yerine getirilmesini sağlamaktadır. Dolayısıyla, bu tür zafiyetlerin kapatılması, sadece belirli bir cihazın güvenliği ile sınırlı kalmamalıdır; aynı zamanda genel ağ güvenliğini etkileyecek şekilde ele alınmalıdır.

Dünya genelinde birçok sektörde, örneğin, bilgi teknolojileri, finans, enerji ve kamu hizmetleri hizmeti sunan şirketler, bu tür zafiyetler karşısında savunmasızdır. Özellikle küçük veya orta ölçekli işletmeler, genellikle güvenlik güncellemelerini zamanında yapmadıkları için büyük riskler altında kalmaktadırlar. Bu nedenle, siber güvenlik uzmanlarının bu tür zafiyetleri sürekli olarak takip edip, uygun güncellemeleri ve yamaları uygulamaları gerekmektedir. Sonuç olarak, CVE-2023-36847 gibi zafiyetler, siber güvenlik stratejileri açısından dikkate alınmalı ve gereken tedbirler ivedilikle alınmalıdır.

Teknik Sömürü (Exploitation) ve PoC

Zafiyet CVE-2023-36847, Juniper Junos OS'un EX Serisi cihazlarında bulunan kritik bir işlev için kimlik doğrulama eksikliği nedeniyle ortaya çıkmıştır. Bu zafiyet, kimlik doğrulaması gerektirmeyen belirli bir istek aracılığıyla, bir saldırganın ağ üzerinden dosya sistemine zarar vermesine yol açabilmektedir. Özellikle, installAppPackage.php dosyasına yapılan istekler, bir saldırgana J-Web (Juniper Web) arayüzü üzerinden rastgele dosyalar yükleme imkanı tanımaktadır.

Bu zafiyeti sömürebilmek için öncelikle hedef Juniper EX Serisi cihazının J-Web arayüzüne erişiminizin olması gerekmektedir. Aşağıda adım adım bir sömürü perspektifi sunulmaktadır.

  1. Hedef Belirleme: İlk olarak, hedef cihazınızın IP adresini belirleyin. Ağa bağlı Juniper EX Serisi cihazlarını taramak için nmap gibi bir araç kullanabilirsiniz. Örneğin:
   nmap -sP 192.168.1.0/24
  1. J-Web Arayüzüne Erişim: Hedef cihazın J-Web arayüzüne erişim sağlamak için tarayıcınızda aşağıdaki URL'yi girin:
   http://<hedef_ip_adresi>/j-web/
  1. Zafiyetin Kullanımı: Öncelikle, installAppPackage.php dosyasına bir HTTP isteği gönderin. Bu istek, kimlik doğrulaması gerektirmediği için, bir saldırganın güvenlik boşluğundan faydalanmasına olanak tanır. Bir dosya yüklemek amacıyla aşağıdaki örnek HTTP isteğini oluşturabilirsiniz:
   POST /j-web/installAppPackage.php HTTP/1.1
   Host: <hedef_ip_adresi>
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundary

   ------WebKitFormBoundary
   Content-Disposition: form-data; name="file"; filename="evil_script.php"
   Content-Type: application/octet-stream

   <?php echo 'Malicious Code Here'; ?>
   ------WebKitFormBoundary--

  1. Arbitrary File Upload (Rastgele Dosya Yükleme): Bu isteği gönderdikten sonra, uygun olan herhangi bir dosyayı, örneğin bir PHP dosyası yüklemek için kullanabilirsiniz. Burada dikkat edilmesi gereken, yüklediğiniz dosyanın yürütülebilir olmasıdır. Yukarıdaki örnekte evil_script.php dosyası yüklenmiştir.

  2. Yüklenen Dosyanın İcra Edilmesi: Dosya başarıyla yüklendikten sonra, yüklediğiniz dosyayı çalıştırarak sunucu üzerinde komut yürütme yeteneğine sahip olmalısınız. Örneğin:

   http://<hedef_ip_adresi>/j-web/evil_script.php
  1. Sonuçların İzlenmesi: Başarılı bir şekilde komut yürüttüğünüzde, sunucunun yanıt vereceğini ve potansiyel olarak daha fazla bilgi elde edebileceğinizi görebilirsiniz. Bu aşamada, dosya sistemi üzerindeki değişiklikleri izlemek ve daha fazla sömürü yöntemlerini denemek için erişiminizi kullanabilirsiniz.

Bu zafiyetin detaylı bir şekilde incelenmesi ve etik hackerlık perspektifiyle yapılacak sızma testleri için, Juniper cihazlarını güncel tutmak ve bu tür zafiyetleri sürekli izlemek kritik öneme sahiptir. Herhangi bir sistemde zafiyet keşfedildiğinde, ilgili güncellemelerin yapılması ve uzun vadeli güvenlik politikalarının oluşturulması gerekmektedir. Unutmayın ki etik hackerlık, sadece bilgi edinme ve sistemleri koruma amaçlı yapılmalıdır; herhangi bir kötü niyetli faaliyet, yasal sonuçlar doğurabilir.

Forensics (Adli Bilişim) ve Log Analizi

Günümüzde siber saldırılar, güvenlik açıkları sayesinde sistemlerinizi tehdit edebilir. CVE-2023-36847 zafiyeti, Juniper Junos OS üzerinde kritik bir işlev için eksik kimlik doğrulama (Authentication Bypass) zafiyetidir. Bu tür buluşlar, siber güvenlik uzmanlarının dikkat etmesi gereken önemli noktalardır. Özellikle, bu tür zafiyetler üzerinden gerçekleştirilecek saldırılar, sistem bütünlüğünü tehlikeye atabilir.

Bir ağ tabanlı saldırgan, kimlik doğrulama gerektirmeden juniper cihazlarının dosya sistemine erişim sağlayabilir. Bu tür bir yapı, bir saldırganın sistem üzerinde zararlı dosyalar yüklemesine olanak tanır. Örneğin, birilerini hedef alarak J-Web arayüzü üzerinden sahte bir dosya yükleyebilir. Saldırganlar, belirli bir dosya yüklediklerinde, sistem üzerinde başka zafiyetlerin devreye girmesini sağlamak için zincirleme saldırılar gerçekleştirebilir.

Siber güvenlik uzmanları, bu tür saldırıları tespit etmek için SIEM (Security Information and Event Management) sistemlerini ve log dosyalarını etkin bir şekilde kullanmalıdır. Özellikle, access log (erişim kaydı) ve error log (hata kaydı) gibi log dosyaları, yapılan isteklerin analizi açısından büyük önem taşır. Saldırganın yüklemek istediği dosya, istenmeyen bir erişim kaydı oluşturacak ve bu durum loglarda gözlemlenebilir.

Örneğin, aşağıda belirtilen log kayıtları, CVE-2023-36847 zafiyetini istismar eden bir saldırganı tanımlamak için birer örnek teşkil edebilir:

GET /installAppPackage.php HTTP/1.1" 200

Bu gibi log girdileri, sistemde yetkisiz bir dosya yükleme girişimi olduğunu gösterir.

Ayrıca, sistemdeki anormal davranışları tespit etmek için aşağıdaki imzalara (signature) dikkat edilmelidir:

  1. Başka kullanıcıların erişim talepleri: Eğer tanımadığınız bir IP adresinden gelen bir istek, sistemdeki bileşenlere yönelik bir yükleme isteğini içeriyorsa, bu potansiyel bir saldırı girişimi olabilir.

  2. Hatalı veya beklenmedik dosya yükleme istekleri: Özellikle dosya türleri açısından şüpheli olan yükleme denemeleri, örneğin .php, .sh, veya diğer script dosya uzantıları içeren talepler kaydedilmelidir. Bu tür dosyalar genellikle kötü niyetli eylemlerle ilişkilidir.

  3. Anormal hata mesajları: Sistem aniden hata vermeye başlarsa veya belirli bir kaynak veya dosya sistemine erişimde sürekli hatalar alıyorsa, bu bir tehditin haberci olabilir. Belirli bir işlev üzerinden atlayış yaparak (Auth Bypass) sisteme erişmeye çalışan birini tespit edebilirsiniz.

Tüm bu veriler ışığında, log analizi yaparken potansiyel tehditleri ve zafiyetleri tespit etmek için sistematik bir yaklaşım benimsemek önemlidir. Forensic (Adli Bilişim) analizi, ağ hareketlerini incelemek ve saldırıların kök nedenini bulmak için kritik bir adımdır. Bu sayede, gelecekte oluşabilecek benzer saldırıların önüne geçilebilmesi mümkün hale gelir. Unutulmamalıdır ki, her bir log girdisi önemli bir parçadır ve etkili bir risk yönetimi için dikkatli bir analiz gerektirir.

Savunma ve Sıkılaştırma (Hardening)

CVE-2023-36847, Juniper Junos OS'un EX Serisi cihazlarında tespit edilen önemli bir güvenlik açığıdır. Bu zafiyet, bir ağ üzerindeki yetkisiz bir saldırganın kritik işlevlere erişim sağlamak için gerekli kimlik doğrulamasının eksikliğinden kaynaklanmaktadır. Saldırgan, özel bir istek ile installAppPackage.php dosyası üzerinden kimlik doğrulaması olmaksızın sistemin dosya bütünlüğüne zarar verebilecek şekilde rastgele dosyalar yükleyebilir. Bu durumda, dosya sistemi üzerinde sınırlı bir etki yaratılabilir ve mevcut diğer zafiyetlerin istismar edilmesine zemin hazırlanabilir.

Bu tür bir açığı kapatmak için öncelikle sistemin sıkılaştırılması gerekmektedir. "Savunma ve sıkılaştırma" (hardening) açısından atılabilecek adımlar arasında, sistem bileşenlerinin ve uygulamalarının sessizliği sağlamak, gereksiz servisleri devre dışı bırakmak ve güncellemeleri düzenli olarak uygulamak yer alır. Özellikle, Junos OS gibi kritik altyapı yazılımlarında, tüm güvenlik güncellemelerinin takip edilmesi büyük öneme sahiptir. Bunun yanı sıra, J-Web üzerinden kimlik doğrulaması gerekmeyen isteklerin kısıtlanması, bu açığın etkilerini büyük ölçüde azaltabilir.

Alternatif firewall (WAF) kuralları da oluşturulabilir. Örneğin, web uygulamalarında yapılan isteklerin yoğunluğunu ve içeriğini analiz ederek, isteklerin belirli bir sınırı aşması durumunda bunları engelleyecek kurallar geliştirilmelidir. .htaccess dosyasında aşağıdaki gibi kurallar eklenerek, istenmeyen dosya yüklemelerinin önüne geçebilirsiniz:

# Sadece belirli dosyaların yüklenmesine izin ver
&lt;Files ~ "\.(php|html)$"&gt;
    Require all denied
&lt;/Files&gt;

Aynı zamanda, sistem üzerinde yükleme yapılacak dizinlerin erişim izinleri de sıkı bir şekilde kontrol edilmeli ve yalnızca gerekli kullanıcıların bu dizinlere erişim izni verilmelidir. Örneğin, aşağıdaki komut ile belirli dizinlerin erişim izinlerini düzenleyebilirsiniz:

chmod 750 /path/to/directory

Kısa bir senaryo düşünelim. Bir şirket, EX Serisi cihazlarını kritik veri iletimi için kullanmaktadır. Saldırgan, yukarıda bahsedilen açık üzerinden içeriğine zarar vermeden sistem üzerinde bir trojan (trojan at) yerleştirirse, bu hem sistem üzerindeki diğer zafiyetleri keşfetmesine yardımcı olacak, hem de sistemdeki hassas verilere erişim sağlar. Kullanıcı kimlik bilgilerini ele geçirmek için, bir saldırı senaryosu oluşturulabilir. Böyle bir senaryonun engellenmesi için, sistem kayıtlarının (log) sürekli izlenmesi ve anormal davranışların tespiti için gelişmiş izleme sistemlerinin kullanılması önerilir.

Son olarak, sürekli ve sistematik bir güvenlik denetimi programı oluşturulması, zafiyetlerin erkenden tespit edilmesine yardımcı olacaktır. Güvenlik açığı tarama araçları ile sistemde oluşabilecek yeni zafiyetler belirlenmeli ve hızlı bir şekilde müdahale edilmelidir. Bu şekilde CEKALIZ (Continual Security Enhancement and Key Activity Log Integrity Zones) yaklaşımını benimseyerek, sistemin güvenliğini artırabiliriz.