CVE-2024-48248: NAKIVO Backup and Replication Absolute Path Traversal Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

NAKIVO Backup and Replication yazılımındaki CVE-2024-48248, ciddi bir güvenlik açığı olarak öne çıkmaktadır. Bu zafiyet, yazılımın iç yapılandırmasında bulunan bir hatadan kaynaklanmakta olup, bir saldırganın sistemdeki belirli dosyaları okumasına olanak tanır. Özellikle, "absolute path traversal" (tam yolu geçme) olarak adlandırılan bu zafiyet, saldırganların dosya sistemine ulaşmasını sağlayarak, kullanıcı verilerine ve sistem yapılandırmalarına erişim kazanmalarına yol açabilir.

Zafiyetin teknik detaylarına inildiğinde, NAKIVO Backup and Replication yazılımındaki belirli bir kütüphanenin yönetim sisteminin, kullanıcıdan gelen girdi verilerini yeterince güvenli bir şekilde işleyemediği anlaşılmaktadır. Bu durum, saldırganın belirli bir dosya yolunu manipüle ederek, sistemdeki kritik dosyalara ulaşabilmesine olanak sağlar. Zafiyet, özellikle web tabanlı arayüzlerden malzeme edinmek için kullanılan dosya yollarını yeniden yönlendirebilir, bu nedenle NAKIVO'nun bu tür giriş kontrol mekanizmalarına sahip bilgilerde yeterli bir doğrulama sağlamadığını gösteriyor.

CVE-2024-48248'in etkisi, yalnızca NAKIVO kullanıcılarıyla sınırlı kalmamış, birçok sektörü de etkilemiştir. Özellikle sağlık, finans ve bilgi teknolojileri gibi veri yoğun sektörlerde faaliyet gösteren kuruluşlar, bu zafiyetten ciddi şekilde etkilenebilir. Duyarlı verilerin korunması açısından ciddi bir tehdit oluşturan bu durum, saldırganların önemli ve gizli bilgilere ulaşmasını sağlayabilir. Örneğin, bir finansal kurumun veritabanına erişim sağlanması durumunda, müşterilerin mali verileri tehlikeye girebilir.

NAKIVO'nun zafiyeti keşfedilmeden önce, bu tür bir exploit (sömürü) ile örneklendirecek olursak, bir saldırganın hedefe ulaşma süreci şu şekilde işleyebilir: Hedef sistemin web arayüzüne erişim sağlamak, ardından hazırlanan özel bir istek ile dosya sistemine yönlendirme yaparak istenilen dosyanın okunmasını sağlamak. Bu süreçte, örneğin standart bir "GET" isteği göndererek, belirli dosya yollarını manipüle edebilir. Bir örnek kod parçası, bu tür bir zafiyetin nasıl kullanılabileceğini göstermektedir:

GET /../../../etc/passwd HTTP/1.1
Host: hedef.site

Yukarıdaki örnek, bir saldırganın sistemdeki kullanıcı bilgilerine ulaşmasını sağlayabilir. Saldırı sonrası açığa çıkan bilgiler, sistem yöneticileri ve kullanıcılar için büyük risk oluşturmaktadır.

Bu zafiyetten korunma yolları arasında, yazılımın güncellenmesi ve güvenlik yamalarının uygulanması önemli bir yere sahiptir. Ayrıca, kullanıcı girdilerinin doğru bir şekilde sanitize (temizleme) edilmesi de kritik bir önlem olarak öne çıkmaktadır. Bunun yanı sıra, dosya erişim izinlerinin düzenlenmesi ve gerekli şekillerde sınırlandırılması, olası bir saldırının önüne geçebilir.

Sonuç olarak, CVE-2024-48248 gibi zafiyetler, siber güvenlik alanında sürekli bir tehdit oluşturmaktadır. Her ne kadar zafiyetin etki alanı büyük olsa da, uygun güvenlik önlemleri ile risk yönetimi yapılabilir. Bu nedenle, NAKIVO Backup and Replication kullanan kuruluşların güvenlik denetimlerini harfiyen uygulamaları ve sürekli olarak sistemlerini güncel tutmaları hayati önem taşımaktadır.

Teknik Sömürü (Exploitation) ve PoC

NAKIVO Backup and Replication uygulamasında keşfedilen CVE-2024-48248 zafiyeti, bir kötü niyetli kullanıcıya sistemdeki dosyaları okuma yeteneği sağlamaktadır. Bu, bir siber saldırganın, hedef sistemdeki hassas bilgilere erişmesine yol açabilecek, ciddi bir absolute path traversal (mutlak yol geçişi) zafiyetidir. Tekrar eden güncellemelerle bu tür zafiyetlerin giderildiğini düşünebiliriz, fakat uygulama geliştirme sürecinde hata payı her zaman vardır ve bu tür açıklıkları keşfetmek, siber güvenlik uzmanları için büyük bir öncelik taşımaktadır.

Bu zafiyet üzerinden bir sömürü gerçekleştirmek için aşağıdaki aşamaları takip edebiliriz. Amacımız, sistemde yetkisiz bir şekilde dosya okuma işlemini gerçekleştirmektir.

İlk adım, hedef sunucuya HTTP istekleri göndermektir. Zafiyetin meydana geldiği nokta, genellikle dosya içeriğine ulaşmaya çalışırken kullanılan ‘/’ veya ‘..’ karakterinin manipüle edilmesidir. Örneğin:

GET /backup/../etc/passwd HTTP/1.1
Host: hedef-sunucu.com

Bu istek, sistemin 'etc' dizinine erişim sağlamayı amaçlar ve eğer zafiyet mevcutsa, sunucu 'passwd' dosyasını açıp içeriğini döndürebilir. Başarılı bir istek sonucunda, genellikle aşağıdaki gibi bir yanıt alırız:

HTTP/1.1 200 OK
Content-Type: text/plain

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...

Elde edilen bu dosya içeriği, sistemin kullanıcı bilgileri ve potansiyel olarak diğer hassas verileri içermektedir. Bu bilgiler, daha fazla saldırılar gerçekleştirmek için kullanılabilir. Örneğin, bir şifre kırma aracı kullanarak, root kullanıcı yetkileri varsa, sistemde tam yönetim kontrolüne sahip olunabilir.

İkinci adım, eğer bu tür bir dosya okuma işlemi başarılı olduysa, diğer kritik dosyaları hedef alarak genişletmektir. Örneğin, 'config' dosyaları, veri tabanına erişim bilgilerini içerebilir:

GET /backup/../path/to/config.php HTTP/1.1
Host: hedef-sunucu.com

Bu aşamada, sistemde daha fazla hassas bilgiye erişme potansiyelimiz artmaktadır. Özellikle, veri tabanı bağlantı bilgileri ve kullanıcılar hakkında kritik veriler elde edilebilir.

Son aşamada, bu verileri elde ettikten sonra, sistem üzerinde daha yetkili erişim sağlayabilmek için mutlaka yerel bir exploit geliştirilmelidir. Eğer hedef sistem zafiyete karşı korumasızsa, bu bilgileri kullanarak bir Remot Code Execution (RCE - Uzak Kod Çalıştırma) saldırısı gerçekleştirilebilir.

Python dilinde basit bir exploit yazılımı örneği:

import requests

target_url = "http://hedef-sunucu.com/backup/../etc/passwd"
response = requests.get(target_url)

if response.status_code == 200:
    print("Elde edilen veri:")
    print(response.text)
else:
    print("Erişim sağlanamadı, durum kodu:", response.status_code)

Bu script, hedef URL’e yapılan bir GET isteği gönderir ve dosya içeriğini ekrana basar. Saldırgan, böylelikle sistemin en kritik bilgilerine ulaşmış olur. Bu tür bir saldırının ardından, edinilen bilgiler siber suçlarda veya hedef sistemi daha fazla ele geçirme amaçlı kullanılarak kötü niyetli faaliyetlerde yer alabilir.

Sonuç olarak, CVE-2024-48248 zafiyeti, sistem yöneticileri ve güvenlik uzmanları için önem taşımaktadır. Sistemin güvenliğini artırmak için bu tür açıkların tespit edilmesi ve kapatılması gerekmektedir. Ayrıca, siber güvenlik eğitimleri ve tatbikatları ile bu tür zafiyetlerin farkındalığı artırılmalıdır.

Forensics (Adli Bilişim) ve Log Analizi

NAKIVO Backup and Replication'daki CVE-2024-48248 güvenlik açığı, kötü niyetli bir saldırganın sistemde yer alan dosyalara erişmesine olanak tanıyan bir absolute path traversal (mutlak yol geçişi) zafiyeti ile ilişkilidir. Bu tür bir zafiyet, genellikle bir uygulamanın dosya sisteminde yetkilendirilmemiş verilere erişim sağlamasıyla sonuçlanır. Kötü niyetli bir kullanıcı, bu açığı istismar ederek kritik yapılandırma dosyalarına veya hassas verilere ulaşabilir.

Saldırganlar, bu tür bir zafiyetten faydalanarak, sistem üzerinde uzaktan kod çalıştırma (RCE - Uzaktan Kod Çalıştırma) riski oluşturabilir. Örneğin, bir saldırgan, NAKIVO Backup and Replication uygulamasının bir parçası olarak geçerli bir istek gönderdiğinde, dosya yoluna "…" dizini ekleyerek sistemin dosya yapısına sızabilir.

Bir siber güvenlik uzmanı, bu tür bir açığın istismar edildiğini anlamak için birkaç önemli log kaydını analiz etmelidir. Öncelikle, erişim logları (access log) üzerinde dikkatli bir şekilde inceleme yapmalıdır. Burada, kullanıcı isteklerinin kaydını tutan her bir satırda anomaliler aramak önemlidir. Örnek bir log kaydı şu şekilde olabilir:

192.168.1.100 - - [12/Mar/2024:14:23:45 +0000] "GET /file/?path=../../etc/passwd HTTP/1.1" 200 172

Bu log kaydındaki ../../etc/passwd yolu, bir path traversal (yol geçişi) denemesi olarak değerlendirilebilir. Ayrıca, 200 statü kodu ile başarılı bir erişim gerçekleştiğini görmek, bu eylemin kötü niyetli bir açığı istismar ettiğini gösterir.

Error logları (hata logları) da dikkat çeken bir diğer log türüdür. Eğer saldırgan sistemde mevut olmayan bir dosyaya erişmeye çalışmışsa, bu durum hata loglarına yansıyacaktır. Örneğin:

2024-03-12 14:25:00 Error: File not found: /file/../../etc/sensitive_data.txt

Bu tür hata mesajları, saldırganın bir zararlı eylem için dosya yollarını değiştirdiğini gösterebilir.

Ayrıca, sistemin anormal davranışlarını gözlemlemek için uygulama logları (application logs) üzerinden detaylı analiz yapılmalıdır. Yüksek sayıda dosya erişim isteği veya belirli bir süre içinde tekrarlanan başarısız oturum açma denemeleri, potansiyel güvenlik olaylarına işaret edebilir.

Log analizinde, özellikle şu imzalara dikkat edilmesi faydalı olacaktır:

path traversal (yol geçişi) örnekleri
Belirli dizinlere erişim girişimleri
Anormal istek sıklığı ve kaynak IP adresleri
Hata mesajlarında geçen dosya yolları

Sonuç olarak, NAKIVO Backup and Replication üzerindeki CVE-2024-48248 zafiyetinin istismar edilip edilmediğini anlamak, dikkatli bir log analizi gerektirir. Log dosyalarında yer alan imzalara odaklanmak, potansiyel saldırıları tespit etmenin anahtarıdır. Özellikle, ../ kullanımı ve sistem dizinlerine yönelik erişim girişimleri, bir siber güvenlik uzmanı için kritik birer gösterge olmalıdır.

Savunma ve Sıkılaştırma (Hardening)

NAKIVO Backup and Replication ürününde bulunan CVE-2024-48248 zafiyeti, saldırganların sistemdeki dosyalara erişimini sağlayan bir "absolute path traversal" (mutlak yol geçişi) açığıdır. Bu tür açıklar, özellikle siber güvenlik alanında "white hat hacker" (beyaz şapkalı hacker) perspektifinden bakıldığında ciddi tehditler oluşturur. Bir saldırgan, bu zafiyeti kullanarak sunucuda bulunan hassas dosyalara erişim sağlayabilir ve bu da veri ihlali veya kötü amaçlı yazılımlar için zemin hazırlayabilir.

Bu açığı kapatmanın birinci ve en önemli yolu, güncellemeleri takip etmek ve sisteminizi daima en güncel hale getirmektir. NAKIVO, bu tür açıklar için genellikle hızlı bir şekilde yamalar yayınlar. Uygulamanızın en son sürümünü kullanmak, bu tür tehditlerden korunmanın temel adımıdır. Ayrıca, yamanın uygulamadan bağımsız test edilmesi ve sistemin genel güvenliği açısından bir penetrasyon testi yapılması da önemlidir. Penetrasyon testleri, güvenlik açıklarını önceden tespit etmenize yardımcı olur ve sistemin zayıf noktalarını belirlemenizi sağlar.

Bir diğer kritik noktası ise sistemin sıkılaştırılmasıdır. "Hardening" (sıkılaştırma) süreçleri, aksi takdirde saldırılara açık olabilecek konfigürasyonları düzenlemeyi içerir. Örneğin, gereksiz hizmetlerin kapatılması, yetki erişimlerinin kısıtlanması ve güvenlik duvarı kurallarının sıkılaştırılması bu süreçte önemli rol oynar. Genel olarak, dosya ve dizin izinlerinin doğru bir biçimde belirlenmesi, bir dosyaya erişim izni verilmeden önce kullanıcıların kimlik doğrulama (auth bypass) gibi süreçlerden geçmesini sağlamalıdır.

Firewall (güvenlik duvarı) ve Web Uygulama Güvenlik Duvarı (WAF) önlemleri de oldukça etkilidir. Örneğin, WAF'ın kullanımı ile belirli URL'lerin ve dosya yollarının filtrelenmesi sağlanabilir. Aşağıda, WAF üzerinde kullanılabilecek örnek bir kural sunulmuştur:

SecRule REQUEST_URI "@contains /path/to/protected" "id:1234,phase:1,deny,status:403"

Bu kural, korumak istediğiniz belirli bir dizine erişim girişimi yapıldığında 403 hata kodu döner. Böylece, zafiyetten yararlanma ihtimali ortadan kalkar.

Ayrıca, sistemdeki tüm programların ve araçların güncellenmesi ve gereksiz olanların kaldırılması, zafiyetlerin kapatılması adına önemlidir. "Unnecessary services" (gereksiz hizmetler) gibi açıkların risk oluşturabileceği unutulmamalıdır. Birçok durumda, her bir uygulamanın yalnızca ihtiyaç duyulan bileşenlerinin ve hizmetlerinin çalışması sağlanarak sisteme gelebilecek açılara karşı savunma güçlendirilir.

Sızma testleri, belirli aralıklarla gerçekleştirilmelidir. Böylece düzenli olarak sistemin güvenliği yeniden değerlendirilmeli ve yeni saldırı yöntemlerine karşı savunmalar gözden geçirilmelidir. Özellikle CVE-2024-48248 gibi bilinen zafiyetlere karşı güncel huku gönderen sistemler, güvenlik açıklarını kapatma konusunda etkili olur.

Son olarak, eğitilmiş bir siber güvenlik ekibi, iç tehditler hakkında çalışanları bilinçlendirmek üzere eğitimler vermeli ve sistemin genel güvenliğini artıracak politikalar oluşturmalıdır. Bu tür zafiyetlere karşı toplu bir bilinçlendirme ve hazırlık, sistemin güvenliğini artıracak son derece önemli bir adımdır.