CVE-2023-7101: Spreadsheet::ParseExcel Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Spreadsheet::ParseExcel kütüphanesinde bulunan CVE-2023-7101 numaralı uzaktan kod yürütme zafiyeti (Remote Code Execution - RCE), siber güvenlik alanında ciddi bir endişe kaynağı olmuştur. Bu zafiyet, kullanıcıların Excel dosyalarını işleyen uygulamalarında potansiyel bir saldırı vektörü oluşturmakta ve dolayısıyla birçok sektörde etkili olabilmektedir. Zafiyetin kökeni, dışarıdan alınan bir dosyadan doğrulanmamış girişlerin, string türündeki "eval" (değerlendirme) ifadesine geçirilmesinde yatmaktadır.

Zafiyetin tarihçesi, 2023 yılının başlarına dayanmaktadır. O tarihten itibaren uzmanlar, Spreadsheet::ParseExcel kütüphanesinin Excel dosyalarını işlerken kullandığı sayısal format dizelerinin değerlendirilmesi sırasında bir sorun fark etmişlerdir. Bu sorunun sonuçları, yazılım geliştirme dünyasında yankı bulmuş ve birçok geliştirici, kullanıcı verilerinin güvenliği hakkında endişelenmeye başlamıştır. Zafiyetin varlığı, yazılımcıların Excel dosyalarını işlemek için bu kütüphaneyi kullanan uygulamalar üzerinde doğrudan riskler oluşturmuş ve kullanıcıların verilerine zararlı kodlar enjekte edilmesine olanak tanımıştır.

Kütüphanenin işleyiş mantığına bakacak olursak, Excel dosyalarını analiz eden ve gerekli verileri çıkartan bir yapıdadır. Ancak, karşılaşılan bu zafiyet, sayısal format dizelerinin doğrulanmamasından kaynaklandığı için, kötü niyetli kişiler tarafından kullanılmakta ve hedef sistemde uzaktan kod yürütülmesine (RCE) imkân tanımaktadır. Örneğin, bir saldırgan, bu kütüphaneyi kullanan bir uygulamanın dosya yükleme fonksiyonuna kötü niyetli bir Excel dosyası yükleyerek, sistemde uzaktan kod çalıştırabilir.

Bu zafiyetin etkileri, özellikle finans, sağlık, eğitim ve kamu sektörleri gibi veri güvenliğinin kritik olduğu alanlarda büyük kayıplara yol açabilir. Bu alanlarda, kullanıcı verileri, finansal bilgiler veya kritik sağlık kayıtları söz konusu olduğunda, RCE gibi zafiyetlerin sonuçları felaket boyutlarına ulaşabilir. Örneğin, bir finans uygulaması, kullanıcılarının hesap bilgileri ile ilgili hassas verileri barındırırken, uzaktan yürütülebilecek kötü niyetli kodların bu verilere erişmesi, ciddi bir veri ihlaline yol açabilir.

Gerçek dünya senaryolarından birinde, bir eğitim kurumu, öğrencilerin notlarını ve kişisel bilgilerini içeren Excel dosyalarını bu kütüphaneyi kullanarak işliyordu. Kötü niyetli bir kullanıcı, hazırladığı bir Excel dosyası ile sisteme sızmayı başardı ve veritabanındaki öğrenci bilgilerine erişti. Sonuç olarak, hem kurumun itibarına zarar verdi hem de öğrenci verilerinin tehlikeye girmesine yol açtı.

Bu tür zafiyetler, sadece yazılım geliştiricilerini değil, aynı zamanda siber güvenlik uzmanlarını da dikkatli olmaya zorlamaktadır. Doğrulanmamış girişlerin hiçbir koşulda string türündeki "eval" gibi ifadelerde kullanılmaması gerektiği kesin bir kural olarak belirlenmelidir. Geliştiricilerin, dış kaynaklardan gelen verileri her zaman validate (doğrulama) etmeleri ve bu tür kütüphaneleri güncel tutmaları, riskleri minimize etmek için kritik öneme sahiptir.

Sonuç olarak, CVE-2023-7101 gibi zafiyetler, günümüzde siber güvenlik alanında karşılaşılması gereken önemli sorunlar arasında yer almaktadır. Kullanıcıların ve geliştiricilerin dikkatli olmaları ve gerekli önlemleri almaları, olası saldırılara karşı korunmalarında büyük önem taşımaktadır.

Teknik Sömürü (Exploitation) ve PoC

Spreadsheet::ParseExcel kütüphanesindeki CVE-2023-7101 zafiyeti, uzaktan kod yürütme (RCE - Remote Code Execution) yeteneği sunan kritik bir güvenlik açığıdır. Bu zafiyet, doğrulanmamış bir dosyadan alınan girdinin bir dize türündeki "eval" fonksiyonuna aktarılmasıyla ortaya çıkmaktadır. Spesifik olarak, Excel dosyalarının ayrıştırılması esnasında sayı format dize dizilerinin değerlendirilmesi sürecindeki hatalardan kaynaklanmaktadır. Bu durumu anlamak ve istismar etmek için gereken adımları inceleyelim.

Zafiyetin teknik derinliği, kütüphanenin nasıl çalıştığında yatmaktadır. Excel dosyaları, genellikle farklı veri türleri içerebilir ve bu verilerin ayrıştırılması esnasında sayısal formatlar için belirli string dizeleri kullanılmaktadır. Eğer kötü niyetli bir kullanıcı, bu dizeleri manipüle ederek tehlikeli kod parçaları eklerse, saldırgan uzaktan komut çalıştırabilir.

İlk adım, potansiyel bir hedef uygulamanın bu kütüphaneyi nasıl kullandığını anlamaktır. Hedef uygulamanın, kullanıcıdan gelen Excel dosyalarını işleme alma şekli üzerinde durulması gerekir. Hedef sistemin belirli bir giriş noktasını (örneğin bir dosya yükleme arayüzü) inceleyerek, dosya yüklemesi için kullanılan API’nin HTTP isteğine erişim sağlamak önemlidir. Aşağıda bu bileşenin örnek bir HTTP isteği yer almaktadır:

POST /upload HTTP/1.1
Host: hedef-site.com
Content-Type: multipart/form-data; boundary=---------------------------147378098314664998827464442
Content-Length: 1234

-----------------------------147378098314664998827464442
Content-Disposition: form-data; name="file"; filename="malicious.xls"
Content-Type: application/vnd.ms-excel

[buraya kötü niyetli Excel dosyası]
-----------------------------147378098314664998827464442--

Kötü niyetli Excel dosyası, bir sayısal format dizesi içeren ve içinde kodun "eval" ile yürütülmesine neden olacak şekilde tasarlanmış bir yük kaleme alınmalıdır. Örnek bir kötü niyetli içerik aşağıdaki gibi olabilir:

=CONCATENATE("eval('", "system('ls');", "')")

Bu içerik, hedef uygulamanın içindeki "eval" fonksiyonuna geçebilecek bir komut dizisi oluşturur. Eğer bu içerik başarılı bir şekilde değerlendirilebilirse, uzaktan komut yürütme gerçekleşecektir.

PoC (Proof of Concept) aşamasında, basit bir Python betiği hazırlayarak bu zafiyeti daha somut hale getirebiliriz. Aşağıda, zafiyeti istismar etmeye yönelik bir Python exploit taslağı verilmiştir:

import requests

url = 'http://hedef-site.com/upload'
files = {
    'file': ('malicious.xls', b'<?xml version="1.0"?>\n<Workbook><Worksheet><Table><Row><Cell><Data ss:Type="Number">=CMD.EXEC("id")</Data></Cell></Row></Table></Worksheet></Workbook>')
}

response = requests.post(url, files=files)

if response.status_code == 200:
    print('Başarılı: Zararlı dosya yüklendi!')
else:
    print(f'Hata: {response.status_code}')

Sonuç olarak, bu zafiyetin istismarı karmaşık görünebilir ancak doğru teknik bilgi ve yöntemler kullanılarak başarılı bir şekilde gerçekleştirilebilir. Bu sebeple, Spreadsheet::ParseExcel gibi kütüphaneleri kullanan uygulama geliştiricilerin güvensiz girdilere karşı dikkatli olmaları ve uygun güvenlik önlemlerini almaları son derece önemlidir. Doğrulanmamış girdilere karşı alınacak tedbirler arasında kullanıcı girdisinin sanitizasyonu, beyaz liste yaklaşımı ve kütüphanelerin güncel tutulması bulunmaktadır. Tedbir almak, zafiyetlerden korunmanın anahtarıdır.

Forensics (Adli Bilişim) ve Log Analizi

Remote Code Execution (RCE) zafiyetleri, siber güvenlik alanında özellikle dikkat edilmesi gereken kritik açıklıklardır. CVE-2023-7101 durumunda, Spreadsheet::ParseExcel kütüphanesi üzerinden gerçekleştirilen bir uzaktan kod çalıştırma (remote code execution) zafiyeti, siber güvenlik uzmanlarının hangi log dosyalarını ve izleri incelemeleri gerektiğini anlamalarına yardımcı olmak için önemli bir örnek teşkil ediyor. Bu tür zafiyetler, kötü niyetli kullanıcıların hedef sisteme kontrol sağlamasına ve zararlı kodları çalıştırmasına olanak tanır.

Zafiyetin temelinde, dosyadan alınan doğrulanmamış girdinin bir string tarzı "eval" işlemine geçirilmesi yatmaktadır. Bu durum, Excel dosyalarının nasıl çözümlediği ile ilgili format string’lerinin değerlendirilmesi sırasında ortaya çıkar. Dolayısıyla, bir siber saldırgan, zararlı Excel dosyaları oluşturarak bu zafiyetten yararlanabilir. Saldırgan, hedef sisteme bir Excel dosyası yüklediğinde, sistem bu dosyayı parse ederken zararlı kodu yürütme şansına sahip olabilir.

Bir siber güvenlik uzmanı olarak, bu tür bir saldırının yapıldığını anlamak için SIEM (Security Information and Event Management) sistemleri üzerinden belirli log dosyalarını dikkatle incelemek önemlidir. Özellikle Access log ve Error log gibi log dosyaları, saldırının izlerini bulmak için kritik öneme sahiptir. Aşağıda, bu log dosyalarında dikkat edilmesi gereken bazı önemli imzalar bulunmaktadır:

1. Şüpheli Dosya Yükleme: Log dosyalarında Excel dosyası yükleme işlemlerine dikkat edilmelidir. Örneğin:

   POST /upload HTTP/1.1
   Host: target-website.com
   Content-Type: application/vnd.ms-excel

Yukarıdaki gibi bir kaydı görmek, sistemde şüpheli bir yükleme işlemine işaret edebilir.

2. Hatalı Kod Çalıştırma: Hataları gösteren log dosyalarında şüpheli string’ler ve "eval" ifadeleri aramak gerekir. Bu tür ifadelerin olduğu herhangi bir hata, bir uzaktan kod çalıştırma girişiminin başlangıcını gösterebilir. Log kayıtlarında şöyle bir ifade bulunuyorsa:

   eval("some malicious code here")

Bu durum, sistemde ciddi bir sorun olduğunu gösterir.

3. Anormal Trafik Desenleri: Normalde beklenmeyen yüksek miktarda veri iletisinin olduğu durumlar, bir RCE saldırısının belirtisi olabilir. Logs’ta anormal giriş ve çıkış trafiği gözlemlenebilir:

   192.168.1.10 - - [28/Oct/2023:10:00:00 +0000] "POST /upload HTTP/1.1" 200 234

4. Kötü Niyetli Kullanıcı Davranışları: Kullanıcı hesaplarının beklenmedik aktiviteleri, yetkisiz erişim deneyimleri veya şifre denemeleri gibi kayıtlar da RCE saldırılarına dair önemli ipuçları sağlayabilir.

Güvenlik uzmanlarının dikkat etmesi gereken diğer bir nokta da, dosya içeriğinin incelemesidir. Dosyaların içeriği, özellikle sayısal format string’leri içerecek şekilde yorumlanmışsa ve bu formatlar zararlı kod parçaları içeriyorsa, sistemde RCE zafiyeti var demektir.

Sonuç olarak, CVE-2023-7101 zafiyeti, doğru bir izleme ve analiz ile önlenebilir. Siber güvenlik uzmanlarının, log analizi ve durumsal farkındalık geliştirmesi, bu tür uzaktan kod çalıştırma zafiyetlerine karşı alınacak en etkili önlemlerden biridir. Zafiyetlerin tespit edilmesi, ilgili güvenlik yamalarının uygulanarak sistem ve veri koruma stratejilerinin güçlendirilmesi açısından kritik öneme sahiptir.

Savunma ve Sıkılaştırma (Hardening)

Spreadsheet::ParseExcel üzerinde tespit edilen CVE-2023-7101 zafiyeti, uzaktan kod çalıştırma (RCE) riskine yol açmaktadır. Bu durum, uygulamanın dışarıdan aldığı dosyaların içindeki verileri kontrol etmeden işleyerek, kötü niyetli kullanıcıların sistemde zararlı kodlar çalıştırmasına olanak tanımaktadır. Özellikle Excel’in sayı formatı dizeleri üzerinde yapılan değerlendirmeler, zafiyetin doğmasına sebep olmaktadır. Bir white hat hacker olarak, bu tür zafiyetlerin ne kadar ciddi sonuçlar doğurabileceğini anlamak önemlidir; bu nedenle, uygulamalardaki güvenlik açığını kapatmanın yollarını ve kalıcı sıkılaştırma (hardening) önlemlerini ele alacağız.

Öncelikle, uzaktan kod çalıştırma (RCE) açıklarını kapatmanın en etkili yolunu, uygulamanızda kullanıcıdan alınan bütün verilerin sıkı bir şekilde doğrulanmasını sağlamakla başlayabiliriz. Özellikle, dosya yükleme özellikleri sunan uygulamalar geliştiriyorsanız, yüklenen dosyanın içerdikleri üzerinde kontrol yapmaktan kaçınmamalısınız. Örneğin, yüklenecek dosyanın türünü kontrol etmek için aşağıdaki gibi bir kod bloğu kullanabilirsiniz:

use strict;
use warnings;

sub validate_file {
    my ($file_path) = @_;
    my $allowed_types = ['.xls', '.xlsx'];

    foreach my $type (@$allowed_types) {
        if ($file_path =~ /\Q$type\E$/) {
            return 1;
        }
    }
    return 0; 
}

Bu fonksiyon, yalnızca belirli dosya uzantılarına izin vererek kötü niyetli dosyaların yüklenmesini engellemeye yardımcı olur. Bununla birlikte, yükledikten sonra dosyanın içeriğini işlemek için kullanılan kodların da güvenlik açısından dikkatli bir şekilde gözden geçirilmesi gerekmektedir. Örneğin:

1. Kullanıcıdan alınan her türlü verilere, tam anlamıyla bir tür validasyon ve sanitizasyon uygulamak şarttır.
2. Dinamik kod çalıştırma için eval gibi işlevlerin kullanımını minimize edin ve mümkünse tamamen ortadan kaldırın.

Firewall (WAF) kuralları eklemek, uygulamanızın güvenlik katmanlarını artırmanın önemli bir yoludur. Örneğin, aşağıdaki gibi bir WAF kuralı, kullanıcıdan gelen isteklerin içeriğini analiz ederek zararlı istekleri tespit edip engelleyebilir:

{
  "rules": [
    {
      "name": "Block RCE Attempts",
      "match": {
        "request": {
          "headers": {
            "User-Agent": ".*malicious-user-agent.*"
          }
        }
      },
      "action": "deny"
    }
  ]
}

Yukarıdaki örnek, belirli bir kullanıcı ajanını (User-Agent) taşıyan istekleri engelleyerek potansiyel bir RCE girişimini önler. Bunun yanı sıra, gelişmiş davranışsal analiz yöntemleri ile anomali tespiti yapılması, kötü niyetli aktivitelerin öngörülmesine yardımcı olur.

Kalıcı sıkılaştırma (hardening) açısından, sistem yapılandırmanızı güçlendirebilir ve zayıflıkları azaltacak ilave adımlar atabilirsiniz. Şunları göz önünde bulundurmalısınız:

• Kullanıcı yetkilendirmelerini en aza indirgemek: Kullanıcılara sadece ihtiyaç duydukları yetkileri verin.
• Güncellemeleri düzenli olarak kontrol etmek: Kullanılan kütüphanelerin ve yazılımların güncel olup olmadığından emin olun.
• Uygulama sunucusu için güvenlik güncellemelerini takip etmek ve uygulamak: Sunucu yazılımınızın en son güvenlik yamaları ile güncellenmesini sağlamak, alınacak en etkili önlemlerdendir.

Sonuç olarak, CVE-2023-7101 gibi güvenlik zaafiyetleri hem uygulamalarınız hem de kurumsal ağ yapınıza ciddi tehditler oluşturabilir. Güvenlik duvarı kuralları, dosya doğrulama, sıkılaştırma önlemleri ve sürekli güncellemelerle birlikte, sistemlerinizi bu tür zafiyetlere karşı koruyarak, güvenli bir dijital ortam sağlamış olacaksınız. Unutmayın, güvenlik her zaman bir öncelik olmalıdır; çünkü zafiyetlerin önlenmesi, sadece yazılım geliştirici değil, aynı zamanda tüm kullanıcıların ortak sorumluluğudur.