CVE-2024-58136: Yiiframework Yii Improper Protection of Alternate Path Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Yii Framework, PHP tabanlı bir web uygulama geliştirme çerçevesidir ve birçok geliştirici tarafından web projeleri için tercih edilmektedir. Ancak, bu popülarite, beraberinde bazı güvenlik zafiyetlerinin de ortaya çıkmasına neden olmuştur. CVE-2024-58136, Yii Framework'ün "improper protection of alternate path" (alternatif yolun yetersiz korunması) zafiyetidir ve bu zafiyet, uzaktan bir saldırganın rastgele kod (RCE - uzaktan kod yürütme) çalıştırmasına imkan tanıyabilir.

Zafiyetin kökeni, Yii Framework’ün yapılandırma ve dosya yolu yönetimindeki eksikliklerden kaynaklanmaktadır. Bu durum, bir saldırganın, uygulamaya erişerek belirli bir dosyaya veya komuta ulaşmasını ve kötü niyetli kod çalıştırmasını sağlayabilir. Özellikle, bu tür bir durum, birden fazla uygulama veya kütüphanenin Yii’yi kullandığı senaryolar için son derece tehlikeli olabilir. Örneğin, Craft CMS gibi Yii tabanlı diğer uygulamalar da bu zafiyetten doğrudan etkilenmektedir.

Gerçek dünya senaryolarında, bir saldırganın bu zafiyeti kullanarak hedef sistemde RCE gerçekleştirmesi durumunu düşünelim. Saldırgan, zafiyetten yararlanarak sunucu üzerinde mevcut olan yetkisiz erişimle, veritabanında verileri değiştirebilir veya sunucuda zararlı yazılımlar yükleyebilir. Özellikle e-ticaret siteleri veya finansal uygulamalar üzerindeki etkisi büyük olabilir. Bu tür uygulamalar kullanıcı bilgilerinin ve hassas verilerin bulunduğu kritik sistemlerdir.

CVE-2024-58136 zafiyetinin ilk raporları 2024 yılında ortaya çıktı ve bu tarihten itibaren hızla yayıldı. Güvenlik uzmanları, zafiyetin yayılımını izlemek için birkaç uyarı yayınladı. Zafiyet, dünya genelindeki birçok sektörü etkileyebilme potansiyeline sahip. Özellikle sağlık, finans, eğitim gibi alanlar, saldırganların hedefinde yer alabilir. Özellikle büyük veri tabanlarına sahip kuruluşlar, bu tür zafiyetlerin tespiti ve önlenmesi için güçlü güvenlik önlemleri almalıdır.

Kütüphanenin zafiyetleri daha geniş bir perspektiften ele alındığında, bir geliştirici olarak dikkat edilmesi gereken en önemli noktalar şunlardır: uygulama ve sunucu yapılandırmasının güncel tutulması, zafiyet tarama araçlarıyla düzenli olarak kontrol edilmesi ve güvenlik güncellemelerinin zamanında uygulanması gerekir. Örneğin, uygulamanızın hangi Yii sürümünü kullandığını kontrol edip, varsa güvenlik güncellemelerini hemen uygulamak bu tür zafiyetlere karşı koruma sağlayabilir.

Sonuç olarak, CVE-2024-58136 gibi zafiyetler, sadece yazılım geliştiricileri değil, aynı zamanda sistem yöneticileri ve bilgi güvenliği uzmanları için de tehdit oluşturmaktadır. Uygulamalarınızı güvenli hale getirmek için proaktif bir yaklaşım benimsemek ve güncel tehditlere karşı tetikte olmak kritik öneme sahiptir. Mümkün olan en iyi güvenlik önlemlerini almak, hem işletmenizin hem de kullanıcılarınızın verilerini korumanın anahtarıdır.

Teknik Sömürü (Exploitation) ve PoC

Yii Framework'te bulunan CVE-2024-58136 zafiyeti, uzak bir saldırganın sistem üzerinde arzu edilen komutları çalıştırmasına yol açabilecek bir "improper protection of alternate path" (alternatif yol koruma eksikliği) zafiyeti taşımaktadır. Bu zafiyet, Yii tabanlı web uygulamalarının kötü niyetli kullanıcılar tarafından istismar edilmesine yol açabilir. Özellikle Craft CMS gibi diğer Yii tabanlı ürünleri etkileyebilir ve bu da potansiyel olarak geniş bir etki alanı yaratmaktadır.

Zafiyetin sömürü aşamalarını ve potansiyel bir Proof of Concept (PoC) kodunu adım adım inceleyelim.

İlk adım, hedef alınan Yii Framework tabanlı uygulamanın yapısının ve zafiyetin nerede bulunduğunun analizi olacaktır. Genellikle, bu tür zafiyetler uygulamanın dosya yolu ve dosya yükleme işlemleri üzerinden ortaya çıkar. Uygulamanın sağladığı alternatif yollarda yeterli koruma olmaması, bir saldırganın kendi kodunu veya zararlı dosyalarını yüklemesine olanak tanır.

Hedef Belirleme: Hedef uygulamanın herhangi bir Yii yapılandırması içerip içermediğini kontrol edin. Bunu yapmak için uygulama URL'sine /index.php?r=site%2Findex gibi bir istekte bulunarak uygulamanın yanıtını inceleyebilirsiniz.
İlk Bilgilerin Toplanması: Hedef uygulamanın kurulu olduğu sunucu katmanının bilgilerini edinin. Genellikle HTTP başlıkları, sunucunun sürümü veya kullanılan teknolojilere dair ipuçları verir. Aşağıda, böyle bir isteğin örneği verilmiştir:

   GET /index.php HTTP/1.1
   Host: targetwebsite.com

Zafiyetin Sömürülmesi: Eğer zafiyet tespit edildiyse, şimdi isteği manipüle etmek için dosya yükleme veya alternatif yol koruma aşamasını aşmalısınız. Burada, kötü niyetli bir dosyanın yüklenmesini sağlayacak bir payload kullanabilirsiniz. Örneğin, kötü niyetli bir PHP betiği yüklemek için aşağıdaki HTTP isteğini yapabilirsiniz:

   POST /index.php?r=site%2Fupload HTTP/1.1
   Host: targetwebsite.com
   Content-Type: application/x-www-form-urlencoded

   file=@/path/to/malicious_script.php

Doğrulama ve Test: Yüklenen dosyanın çalıştırılabilir olduğunu ve uzaktan kod çalıştırma (RCE) (uzaktan komut çalıştırma) yeteneğini doğrulamak için bir tarayıcıdan veya bir terminalden kötü niyetli dosyayı çağırın:

   GET /uploads/malicious_script.php HTTP/1.1
   Host: targetwebsite.com

Zafiyetin Kapatılması: Eğer uygulamanızda bu zafiyet olduğu tespit edildi ise hemen gerekli önlemleri almak önemlidir. Yii'nin en son sürümüne güncelleme yaparak veya alternatif yollar üzerindeki korumayı güçlendirerek sistemi savunmanız gerekecektir.

Bu adımlar, bir Yii tabanlı uygulamayı etkileyecek bir zafiyeti sömürülebilir hale getiren temel teknikleri özetlemektedir. Ancak, bu tür saldırıların yasal olmayan faaliyetler olarak görüldüğünü ve bu tür eylemlerin ciddi sonuçları olabileceğini unutmamak önemlidir. White Hat Hacker olarak, bu bilgileri sadece eğitim ve test amaçlı olarak kullanmalısınız. Her zaman etik kurallara uymalı ve izinli testler gerçekleştirmelisiniz.

Forensics (Adli Bilişim) ve Log Analizi

Yii Framework içerisinde bulunan CVE-2024-58136 zaafiyeti, düzgün bir alternatif yol koruması yapılmaması nedeniyle uzaktan saldırganların rastgele kod yürütmesine (RCE - Remote Code Execution) olanak tanıyabilecek bir güvenlik açığıdır. Bu tür bir zafiyet, özellikle web uygulamaları üzerinde ciddi riskler taşımaktadır. Özellikle Craft CMS gibi Yii tabanlı diğer ürünler de bu durumdan etkilenebilir ve siber güvenlik uzmanlarının bu zaafiyeti tespit edebilmesi için belirli log analiz teknikleri uygulaması gerekmektedir.

CyberFlow platformu gibi SIEM araçlarının kullanımı, bir güvenlik uzmanı için kritik bir öneme sahiptir. Bu tür araçlar, log verilerini sürekli olarak izleyerek potansiyel tehditleri belirlemek için kullanılır. Log dosyalarında, özellikle Access log (erişim logu) ve Error log (hata logu) gibi kaynaklarda CVE-2024-58136'ya işaret eden belirli izler vardır.

Öncelikle, bir siber güvenlik uzmanı, sundukları uygulamalarda beklenmedik davranışlar veya performans problemleri olduğunda bu logları gözden geçirmelidir. Örneğin, erişim loglarında bir kullanıcının normalde erişemeyeceği URL'lere yoğun bir şekilde erişim gerçekleştirdiği gözlemlenirse, bu bir anormal durum olabilir. İşte bu noktada belirli imzalara (signature) dikkat etmek önemlidir.

Önerilen İmza Kontrolleri:

Beklenmedik URL İstekleri:

Anormal veya beklenmedik URL istekleri arayın. Örneğin, /index.php?r gibi Yii'nin standart URL yapılarını kötüye kullanmaya yönelik istekler.
Bunu kontrol etmek için, günlük dosyalarındaki URL isteklerini gözden geçirebilir ve bu URL’lerin tipik kullanım örnekleri ile karşılaştırmalar yapabilirsiniz: log GET /index.php?r=site/index HTTP/1.1 GET /index.php?r=site/view&id=1 HTTP/1.1 GET /index.php?r=unknown_path HTTP/1.1

Hatalar ve İstisnalar:

Hata loglarında, bir hata sonucu oluşan istisnalar ve stack trace'ler dikkatlice incelenmelidir. Özellikle, Yii Framework'ün hata mesajlarındaki belirli kalıplar, bir saldırının belirtisi olabilir: log ERROR: Uncaught Exception: Unable to resolve the request "unknown_path".

Yüksek Trafikli IP Adresleri:

Sürekli olarak aynı IP adresinden gelen yüksek sayıda istekler, bir brute-force (güç zorlaması) veya başka bir saldırı türü için şüpheli olabilir. Bu IP adreslerinin listesini çıkarıp, hangi URL’lere yöneldiğini incelemek gerekecektir.

Zamanlı Erişim Analizi:

Anormal saatlerde veya günlerde yapılan erişim istekleri belirli bir risk grubunu işaret edebilir. Eğer bir uygulamaya, normal kullanıcı davranışlarının dışında, geç saatlerde veya hafta sonları gelen yoğun trafik varsa, bu, bir siber saldırganın sistemde keşif yaptığını gösterebilir.

Bu tür atakları önlemek ve tespit etmek için log analizinin yanı sıra, proaktif güvenlik önlemleri de alınmalıdır. Güncel yazılımları kullanmak, güvenlik yamalarını zamanında uygulamak ve düzenli penetrasyon testleri yapmak önemlidir. Unutulmamalıdır ki, siber güvenlik bir süreçtir ve sürekli olarak gelişen bir alandır.

Savunma ve Sıkılaştırma (Hardening)

Yii Framework, PHP tabanlı bir uygulama geliştirme çerçevesi olarak yaygın bir kullanım alanına sahiptir. Ancak, 2024 yılında yayımlanan CVE-2024-58136 kodlu zafiyet, bazı uygulamaların bu framework'ü kullanırken ciddi güvenlik sorunları yaşamasına neden olmaktadır. Zafiyet, kötü niyetli bir kullanıcının uzaktan (RCE - Uzaktan Kod Yürütme) sistem üzerinde istenmeyen komutlar çalıştırmasına olanak tanıyan bir açıkla ilişkilidir. Özellikle bu zafiyetin Craft CMS gibi Yii tabanlı diğer ürünleri de etkileyebilmesi, kullanıcılar için bir tehdit oluşturur.

Bu tür zafiyetlere karşı etkili bir savunma ve sıkılaştırma (hardening) yaklaşımı benimsemek, sistem güvenliği açısından hayati önem taşır. İlk olarak, uygulamanın kod tabanında güvenlik zafiyetlerini baştan düzeltmek için sürekli kod incelemeleri yapılmalıdır. Bunun yanı sıra, geliştiriciler için güvenlik odaklı eğitimler düzenlemek, potansiyel zafiyetlere karşı daha bilinçli bir yazılımcı kitlesinin oluşmasına katkı sağlar.

Zafiyeti kapatmanın en etkili yöntemlerinden biri de uygulama yapılandırmalarıdır. Özellikle config/web.php dosyasındaki güvenlik ayarlarına dikkat etmek büyük önem taşıyor. Örneğin, aşağıdaki gibi bir yapılandırma eklenmesi önerilmektedir:

'components' =&gt; [
    'request' =&gt; [
        'cookieValidationKey' =&gt; 'random-key', // Güvenli bir değer
        'enableCsrfValidation' =&gt; true,
    ],
    // Diğer bileşenler
],

Bu ayarlar, CSRF (Cross-Site Request Forgery - Ortak Alan İstek Sahteciliği) saldırılarına karşı koruma sağlarken, oturum doğrulaması gibi temel güvenlik önlemlerini de pekiştirir.

Alternatif olarak, Web Uygulama Güvenlik Duvarı (WAF - Web Application Firewall) kullanarak da saldırılara karşı koruma sağlanabilir. WAF kuralları, uygulamalarınıza yönelik bilinen saldırı vektörlerini engelleyebilir. Örneğin, aşağıdaki gibi kurallar eklendiğinde, belirli isteklerdeki zararlı yükler filtrelenebilir:

SecRule REQUEST_URI "@contains /path/to/vulnerable" "id:123456,phase:1,deny,status:403"
SecRule ARGS "@rx (some malicious pattern)" "id:123457,phase:2,deny,status:403"

Bu kurallar, sistemin yalnızca bilinen zararlı istekleri engellemekle kalmayıp, beklenmeyen davranışlar tespit ettiğinde de kullanıcıyı bilgilendirecek şekilde tasarlanabilir.

Kalıcı sıkılaştırma önerileri arasında ise, gereksiz bileşenlerin kaldırılması, yetkisiz erişimin kısıtlanması ve düzenli güncellemelerin yapılması bulunmaktadır. Uygulamanızda sadece gerekli bileşenleri bulundurmak, saldırı yüzeyini önemli ölçüde azaltacaktır. Bunun için, composer.json dosyasında kullanılmayan bağımlılıkların temizlenmesi önemlidir.

Son olarak, uygulamanız için ayrıntılı loglama yapılandırması yapmak ve bu logları düzenli olarak analiz etmek, saldırganların aktivitelerini erken tespit etmenize olanak sağlar. Log yönetim araçları kullanarak anormallikleri tespit etmek ve potansiyel tehditler hakkında zamanında aksiyon almak, genel güvenlik seviyesini artıracaktır.

Unutulmamalıdır ki, güvenlik sürekli bir süreçtir ve sistemlerinizdeki güncellemeleri takip etmek ve güvenlik açıklarını aktif olarak kapatmak, uzun vadede sürdürülebilir bir güvenlik stratejisi oluşturmanın anahtarıdır.