CVE-2024-21893: Ivanti Connect Secure, Policy Secure, and Neurons Server-Side Request Forgery (SSRF) Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Ivanti Connect Secure, Ivanti Policy Secure ve Ivanti Neurons, çeşitli organizasyonların güvenlik altyapılarında kritik rol oynayan çözüm ve platformlardır. Ancak, CVE-2024-21893 olarak tanımlanan bir sunucu tarafı istek sahteciliği (SSRF) zafiyeti, bu sistemlerin güvenliğini tehlikeye atmaktadır. Bu zafiyet, SAML (Security Assertion Markup Language) bileşeninde bulunmakta ve kötü niyetli bir saldırganın belirli sınırlı kaynaklara kimlik doğrulaması olmadan erişim sağlamasına izin vermektedir.

Zafiyetin tarihçesi, 2024 yılının başlarına kadar uzanmaktadır. Bu durum, siber güvenlik topluluğunda kurumsal uygulamaların güvenliğini sağlamak açısından büyük bir endişe yaratmıştır. Ivanti, bu zafiyeti tespit ettiğinde, acil bir düzeltme yayınlayarak kullanıcılarını ve sistemlerini korumak adına gerekli önlemleri almıştır. Ancak bu süreç, özellikle güvenlik açıklarının (vulnerability) sektörel bazda ne denli geniş etkileri olabileceğini gözler önüne sermektedir.

CVE-2024-21893 zafiyetinin derinlemesine analizi, sistemin SAML bileşeninde bir güvenlik açığı bulunmasından kaynaklanmaktadır. SAML, federasyon tabanlı kimlik doğrulama için yaygın olarak kullanılan bir protokoldür ve birçok kurumsal uygulama, bu tür protokollere dayanarak kullanıcı doğrulama işlemlerini gerçekleştirmektedir. Zafiyetin varlığı, kötü niyetli kullanıcıların oturum açma bilgilerini kullanmadan hassas verilere erişim elde etmelerini sağlamakta, bu da hem veri ihlallerine hem de potansiyel olarak uzaktan kod çalıştırma (RCE - Remote Code Execution) gibi daha karmaşık saldırılara yol açabilmektedir.

Gerçek dünya senaryolarında, bu tür bir SSRF açığı, veri merkezlerinde, bulut hizmetlerinde ve e-ticaret platformlarında ciddi güvenlik tehditleri oluşturabilir. Örneğin, bir saldırgan, zafiyetten yararlanarak iç ağdaki diğer hizmetlere veya veritabanlarına doğrudan istekler gönderebilir, bu da veri sızıntısına veya kullanıcı bilgilerinin ele geçirilmesine neden olabilir. Ayrıca, bankacılık ve finans sektörleri gibi hassas verilerle çalışan kuruluşlar, bu tür açıkların sömürülmesiyle büyük maddi kayıplara uğrayabilir.

Dünya genelinde etkileri özellikle büyük işletmeler, kamu hizmetleri ve daha büyük finansal kuruluşlar üzerinde hissedilmiştir. Bu zafiyetin istismar edilmesi, yalnızca belirli bir kuruluşu değil, onun ekosistemindeki diğer sistemleri de etkileyebilir. Özellikle, industrial control systems (endüstriyel kontrol sistemleri) ve IoT (Nesnelerin İnterneti) gibi daha kritik altyapılar, bu tür bir saldırının hedefinde olabilmektedir.

Zafiyetin ortaya çıkması ve buna bağlı olarak mümkün olan istismar yöntemlerinin incelenmesi, siber güvenlik profesyonelleri için hayati öneme sahiptir. Kötü niyetli yazılımlar (malware) ve saldırı yüzeyleri (attack surface) göz önüne alındığında, bu tür güvenlik açıklarını tespit etmek ve bunlara karşı önlemler almak, güvenli bir sistem mimarisi oluşturmanın temellerindendir. Ivanti'nin ilgili güncellemelerini takip etmek ve organizasyon içinde bir tehdit modelleme (threat modeling) süreci oluşturmak, bu tür zafiyetlerle başa çıkmak adına önemli adımlardır.

Sonuç olarak, CVE-2024-21893 zafiyeti, birçok sektörde güvenlik ihlallerine yol açabilecek kritik bir sorundur ve bu yüzden sürekli izlenmesi ve uygun önlemlerin alınması gerekmektedir.

Teknik Sömürü (Exploitation) ve PoC

Ivanti Connect Secure, Policy Secure ve Neurons ürünlerinde tespit edilen CVE-2024-21893 zafiyeti, saldırganların SAML bileşeni aracılığıyla kimlik doğrulaması gerektirmeyen belirli kısıtlı kaynaklara erişim sağlamasına olanak tanıyan bir Server-Side Request Forgery (SSRF) (Sunucu Tarafında İstek Sahteciliği) açığıdır. Bu tür bir zafiyet, potansiyel olarak sistemdeki diğer hizmetlerin veya kaynakların kötüye kullanılmasına zemin hazırlarken, aynı zamanda kullanıcı verilerini ve sistem bütünlüğünü tehlikeye atabilir.

İlk aşamada, zafiyeti anlamak için Ivanti hizmetlerinde bulunan SAML bileşenini incelemek gereklidir. Saldırgan, bu komponente gönderilen isteklere manipülasyonlar yaparak hedef sistem araçlarına veya diğer ağ kaynaklarına erişim sağlayabilir. Bu bağlamda, exploit süreci şu adımlarla ilerler:

Hedef Belirleme: İlk olarak, zafiyetin etkili olduğu bir Ivanti Connect Secure veya Policy Secure instance'ı belirlenmelidir. Bu noktada, sistemin hangi SAML yapılandırmasını kullandığını öğrenmek önemlidir.
HTTP İsteği Oluşturma: Saldırgan, belirli bir URL yolu aracılığıyla SSRF açığını tetiklemeye yönelik bir HTTP isteği hazırlar. Örnek bir HTTP isteği şu şekilde olabilir:

   POST /saml/consumer HTTP/1.1
   Host: hedef-sunucu.com
   Content-Type: application/xml
   Content-Length: [uzunluk]

   &lt;samlp:AuthnRequest ...&gt;
       &lt;saml:Issuer&gt;...&lt;/saml:Issuer&gt;
       &lt;saml:Destination&gt;http://localhost:8080/private_resource&lt;/saml:Destination&gt;
   &lt;/samlp:AuthnRequest&gt;

Bu istekte, Destination alanı kötü niyetli bir hizmete yönlendirilerek açık bir şekilde istismar edilmektedir.

Yanıt Analizi: Üstteki isteğin gönderilmesinin ardından, sunucudan gelen yanıt dikkatlice incelenmelidir. Bu yanıt, saldırganın belirtilen kaynağa erişip erişmediğini gösterecektir. Eğer yanıt beklenen verilere ulaşmışsa, SSRF zafiyeti başarılı bir şekilde sömürülmüş demektir.
Veri Elde Etme: Eğer erişimin sağlandığı hizmet kritik verilere sahipse, bu veriler kullanılabilir. Örneğin, bir veri tabanını sorgulamak için şöyle bir Python kodu kullanılabilir:

   import requests

   headers = {
       'Content-Type': 'application/xml',
   }
   payload = '''
   &lt;samlp:AuthnRequest ...&gt;
       &lt;saml:Issuer&gt;...&lt;/saml:Issuer&gt;
       &lt;saml:Destination&gt;http://localhost:8080/private_resource&lt;/saml:Destination&gt;
   &lt;/samlp:AuthnRequest&gt;
   '''

   response = requests.post('http://hedef-sunucu.com/saml/consumer', headers=headers, data=payload)
   print(response.text)

Sonuçların Kullanımı: Son aşamada, ele geçirilen verilerin nasıl kullanılabileceği üzerine düşünmek önemlidir. Bu veriler, sistem üzerinde daha ileri seviye yetkilere ulaşmak (Privilege Escalation) veya başka hizmetlere yönlendirme yapmak gibi işlemlerde kullanılabilir.

Bu SSRF zafiyeti, uygun bir şekilde tetiklendiğinde oldukça tehlikeli sonuçlar doğurabilir. Önerilen, güncellemeleri takip etmek ve güvenlik önlemlerini artırmak olacaktır; zira bu tür açıklar, bilgi güvenliğini tehdit eden önemli bir potansiyele sahiptir. Saldırı yüzeyini daraltarak, sistemlerinizi bu ve benzeri zafiyetlere karşı korumak, siber güvenlik kültürünüzün bir parçası olmalıdır.

Forensics (Adli Bilişim) ve Log Analizi

Ivanti Connect Secure, Policy Secure ve Neurons uygulamalarında tespit edilen CVE-2024-21893 zafiyeti, siber güvenlik uzmanları için önemli bir tehdit oluşturmaktadır. Özellikle SAML (Security Assertion Markup Language) bileşeninde ortaya çıkan bu sunucu tarafı istek sahteciliği (Server-Side Request Forgery - SSRF) açığı, saldırganların kimlik doğrulama gereksinimlerini atlayarak (Auth Bypass) belirli kısıtlı kaynaklara erişmesine olanak tanımaktadır. Bu nedenle, Forensics (Adli Bilişim) ve log analizi, olası bu tür saldırıların tespitinde kritik bir rol üstlenmektedir.

Saldırının tespit edilebilmesi için, siber güvenlik uzmanlarının dikkat etmesi gereken birkaç önemli log türü vardır. Bu loglar arasında access log, error log ve uygulama logları yer almaktadır. Bu logların detaylı bir şekilde incelenmesi, potansiyel bir SSRF saldırısını tespit etmek adına oldukça yararlıdır. Örneğin, access log'larda anormal ve şüpheli IP adreslerine gelen istekler, bir SSRF saldırısının belirtisi olabilir.

Saldırganlar genellikle dış kaynaklarla (örneğin, yerel hizmetler veya dahili sunucular) iletişim kurmak için belirli URL'ler veya IP adresleri kullanırlar. Bu durumda, log dosyalarında aşağıdaki türden anormal istekler gözlemlenmelidir:

192.168.1.10 - - [12/Oct/2023:14:55:01 +0000] "GET /admin/backup HTTP/1.1" 200 [Custom Response]

Bu türden bir girişim, kullanıcının genellikle erişemeyeceği bir yola erişmeye çalıştığını gösterir. Aynı zamanda, yüksek frekansta yapılan bu istekler, aynı hedefe yönlendirilmiş çoklu istekler, ya da sıradışı bir URL yapılandırması da (örneğin, bir localhost adresine yönlendirme) dikkatlice incelenmelidir. Ayrıca, saldırıların outbound (dışa) isteklerde de gözlemlenmesi mümkündür. Eğer loglar dışa gerçekleştirilen olağandışı HTTP isteklerini gösteriyorsa, bu da bir SSRF girişimi olarak değerlendirilebilir.

Error log'ları da önemli bilgiler sunabilir. Özellikle, belirli bir kaynak üzerinde erişim hatalarının gözlemlenmesi, bu kaynağa ulaşmaya çalışırken bir saldırganın kimlik doğrulama sürecini atlamaya çalıştığını düşündürebilir. Logların düzenli olarak kontrol edilmesi ve anormal davranışların tespit edilmesi, bu tür saldırıların önlenmesinde etkili bir yöntem olabilir. Bir siber güvenlik uzmanı, log analizinde bu tür imzalara (signature) odaklanarak saldırının kesinlik kazanıp kazanmadığını belirleyebilir.

Sonuç olarak, CVE-2024-21893 gibi sunucu tarafı istek sahteciliği zafiyetlerinin tespitinde, adli bilişim ve log analizi kritik bir öneme sahiptir. Log dosyalarının yapısal analizleri, anormal davranışların tespiti ve potansiyel saldırıların önlenebilmesi için sürekli bir süreç gerektirir. Bu nedenle, güvenlik uzmanları için güncel kalmak ve sürekli eğitim almak, bu tür zafiyetlere karşı etkin bir önlem almak açısından önemlidir.

Savunma ve Sıkılaştırma (Hardening)

Ivanti Connect Secure, Policy Secure ve Neurons'da bulunan CVE-2024-21893 zafiyeti, bir sunucu tarafı istek sahtekarlığı (SSRF) açığıdır. Bu zafiyet, bir saldırganın SAML (Security Assertion Markup Language) bileşeni aracılığıyla kimlik doğrulama gerekmeksizin belirli sınırlı kaynaklara erişim sağlamasına olanak tanır. Bu tür bir zafiyet, genellikle iç ağda veya korumalı sistemlerde hassas verilere ya da servislerin dışarıdan erişimine yol açabilir. Bir beyaz şapkalı hacker olarak, bu zafiyetin önlenmesi ve etkilenen sistemlerin güvenliğinin sağlanması adına atılması gereken adımları incelemek oldukça önemlidir.

İlk olarak, bu açığın kapatılması için Ivanti ürünlerinin en son güncellemelerinin uygulanması kritik bir adımdır. Üretici firma, genellikle bu tür zafiyetlere karşı güvenlik güncellemeleri yayınlamaktadır. Sistem yöneticileri, düzenli olarak yazılımlarını güncelleyerek herhangi bir geçmiş zafiyete karşı korunmalıdır. Ayrıca, kullanıcıların yalnızca yetkilendirilmiş erişimi olan cihazlar tarafından bu sistemlere bağlanabilmesi için ağ segmentasyonu gibi yöntemler kullanılmalıdır.

Firewall (güvenlik duvarı) kurallarının uygun bir şekilde yapılandırılması, bu zafiyetin etkilerini azaltmada önemli bir rol oynar. Web Uygulama Güvenlik Duvarı (WAF), isteklerin incelenmesi ve olası kötü niyetli sürümlerinin engellenmesi konusunda aktif bir koruma sağlar. Geliştirilecek WAF kuralları, belirli bir istek yapısının izin verilen kurallar dışında olup olmadığını kontrol edebilir. Örneğin:

SecRule REQUEST_URI "@contains /path/to/protected/resource" "id:1001,phase:1,block,msg:'Unauthorized access attempt detected'"

Bu kural, belirli bir kaynağa (örneğin, /path/to/protected/resource) erişim talep edildiğinde bunu engeller.

Ayrıca, bilgi sızıntısını önlemek için gereken sıkılaştırma yöntemlerinden biri, sistemde yükleme yapılacak olan SAML bileşenlerinin konfigürasyonunun gözden geçirilmesidir. Zafiyetin etkilerini azaltmak için SAML yapılandırmasının yalnızca güvenli dış bağlantılarla sınırlı tutulması ve iç kaynaklara yönelik erişimlerin güncellenmesidir. Bunun için, SAML bileşenlerinin yalnızca önceden belirlenmiş IP adreslerinden gelecek taleplere cevap verecek şekilde yapılandırılması önerilir.

samlServiceProvider.setAllowedRemoteHost("192.168.1.1");

Ayrıca, sistem üzerinde izinsiz değişiklikleri tespit edebilmek için izleme ve günlükleme yapılmalıdır. Bu, herhangi bir olağandışı etkinlik tespit edildiğinde hızla müdahale etme imkanı sunar. Günlük kayıtları, erişim denemeleri ve hatalar üzerine detaylı bilgi içermelidir.

Son olarak, kullanıcı eğitimleri ve sosyal mühendislik saldırılarına karşı farkındalık arttırma faaliyeti, sistem üzerindeki insan hatasını minimize eder. Hem teknik tedbirlerin alınması hem de insan kaynaklı hataların azaltılması, sistem güvenliğinin artırılmasında önemli bir rol oynar. Bu nedenle, güvenlik farkındalığı eğitimleri, sürekli olarak güncellenmeli ve tüm çalışanlara düzenli aralıklarla verilmelidir.

Bu örnekler ve açıklamalar, bir beyaz şapkalı hacker olarak, CVE-2024-21893 zafiyetinin etkilerini minimize etmek amacıyla atılabilecek adımların yalnızca bir kısmını oluşturmaktadır. Bu tür bir açığın ciddiyeti göz önünde bulundurulduğunda, proaktif yaklaşım ve kesintisiz koruma stratejileri oluşturmak hayati önem taşır.