CVE-2020-5135: Kritik SonicWall VPN Buffer Overflow Zaafiyeti

CVE-2020-5135: Kritik SonicWall VPN Buffer Overflow Zaafiyeti

Araştırmacılar, SonicWall VPN Portal'da kolayca yararlanılabilen kritik bir ön kimlik doğrulama güvenlik açığı tespit etti.    CVE-2020-5135 olarak geçen bu açıklık SonicWall Network Security Appliance'taki (NSA) VPN portalında buffer overflow açıklığı ile gerçekleştiriliyor ve  SonicWall Network Security Appliance (NSA) cihazlarında çalışan işletim sistemi SonicOS'u etkiliyor. Bu açıklık ile saldırgan kalıcı bir hizmet reddi (DOS/DDOS) saldırısı yapabilir, uzaktan kod yürütebilir ve cihazların çökmesine sebep olabilir.

SonicWall NSA'lar, çalışanların dahili ve özel ağlara erişimini filtrelemek, kontrol etmek ve izin vermek ,bir sandbox, SSL / TLS şifre çözme ve inceleme yetenekleri, ağ tabanlı kötü amaçlı yazılım koruması ve VPN özelliklerine sahip yeni nesil güvenlik duvarı cihazlarıdır. Güvenlik açığından yararlanmak için saldırganın geçerli kimlik bilgilerine sahip olması gerekmez.

 Açıklık, özel bir protokol işleyicisini içeren kimliği doğrulanmamış bir HTTP isteği tarafından tetiklenebilir. Güvenlik açığı, ürün yönetimi ve SSL VPN uzaktan erişimi için kullanılan HTTP / HTTPS hizmetinde bulunmaktadır.

Tripwire araştırmacıları, SonicOS'un özel protokolleri işleyen bir bileşende bir hata içerdiğini belirtti.Bileşen, WAN (public internet) arayüzünde açığa çıkar;  yani saldırgan, cihazın IP adresinden haberdar olduğu sürece onu kullanabilir.

Etkilenen Sistemler

§   SonicOS 6.5.4.7-79n ve öncesi

§   SonicOS 6.5.1.11-4n ve öncesi

§   SonicOS 6.0.5.3-93o ve öncesi

§   SonicOSv 6.5.4.4-44v-21-794 ve öncesi

§   SonicOS 7.0.0.0-1

Çözüm Önerisi

SonicWall, açıklık gidermek için güncellemeler yayınladı en kısa sürede güncelleme yapılması önerilir.

SonicWall, aşağıdaki sürümlerin bu sorun için bir düzeltme içerdiğini belirtti:

§   SonicOS 6.5.4.7-83n

§   SonicOS 6.5.1.12-1n

§   SonicOS 6.0.5.3-94o

§   SonicOS 6.5.4.v-21s-987

§   Gen 7 7.0.0.0-2 ve sonrası

Referanslar

§   https://www.helpnetsecurity.com/2020/10/16/cve-2020-5135/

§   https://securityboulevard.com/2020/10/sonicwall-vpn-portal-critical-flaw-cve-2020-5135/

§   https://isc.sans.edu/forums/diary/CVE20205135+Buffer+Overflow+in+SonicWall+VPNs+Patch+Now/26692/

§   https://www-zdnet-com.cdn.ampproject.org/c/s/www.zdnet.com/google-amp/article/800000-sonicwall-vpns-vulnerable-to-new-remote-code-execution-bug/

Devamı..

ZEROLOGON ZAAFİYETİ - CVE-2020-1472

 Windows sunucular için kritik olduğu bilinen ve CVE-2020-1472: Zerologon zaafiyeti olarak bilinen zaafiyet Domain Controller üzerinde yetkisiz kod çalıştırmaya olanak tanıyor.

Zerologon zafiyeti, Netlogon kimlik doğrulamada kullanılan zayıf kriptografik algoritmadan yararlanıyor. Bu zafiyetten yararlanan saldırgan ağdaki bir aygıtta özel hazırlanmış bir uygulama çalıştırabilir, Domain Controller’ı yeni bir şifreyle yönetebilir, Domain adminine ait kimlik bilgilerini çalabilir, herhangi bir kullanıcı bilgisayarının kimliğine bürüner ve uzaktan yordam çağrılarını yürütebilir, Netlogon kimlik doğrulama sürecindeki güvenlik özelliklerini devre dışı bırakıp Active Directory üzerindeki bir bilgisayarın parolasını değiştirebilir, hedef ağda kötü amaçlı yazılım ve fidye yazılımı sunmak için de kullanılabilir.

Etkilenen Sistemler

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2012

Windows Server 2012 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 R2 (Server Core installation)

Windows Server 2016

Windows Server 2016 (Server Core installation)

Windows Server 2019

Windows Server 2019 (Server Core installation)

Windows Server, version 1903 (Server Core installation)

Windows Server, version 1909 (Server Core installation)

Windows Server, version 2004 (Server Core installation)

Çözüm Önerisi

Zerologon kritik zafiyeti için Microsoft güncelleme yayınlanmıştır, en kısa sürede güncelleme yapılması gerekmektedir.

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472

Referanslar

1)https://www.cozumpark.com/windows-sunucular-icin-cok-kritik-zafiyet/

2) https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472

3) https://securityaffairs.co/wordpress/108262/hacking/zerologon-attack.html

Devamı..

CVE-2020-16875 - Microsoft Exchange Server Uzaktan Kod Yürütme Güvenlik Açığı

  CVE-2020-16875 - Microsoft Exchange Server Uzaktan Kod Yürütme Güvenlik Açığı

Microsoft Exchange sunucusunda cmdlet bağımsız değişkenlerinin hatalı doğrulanması nedeniyle uzaktan kod yürütme güvenlik açığı bulunmaktadır. Bu güvenlik açığından güvenlik açığından başarıyla yararlanan bir saldırgan, sistem kullanıcısı yetkisi ile rasgele kod çalıştırabilir.

Etkilenen Sistemler ve Yamalar

-Microsoft Exchange Server 2016 Cumulative Update 16

https://www.microsoft.com/en-us/download/details.aspx?id=102014

- Microsoft Exchange Server 2016 Cumulative Update 17

https://www.microsoft.com/en-us/download/details.aspx?id=102013

-Microsoft Exchange Server 2019 Cumulative Update 5

https://www.microsoft.com/en-us/download/details.aspx?id=102015

-Microsoft Exchange Server 2019 Cumulative Update 6

https://www.microsoft.com/en-us/download/details.aspx?id=102012

 

Mevcut sürümü öğrenmek için aşağıdaki powershell komudunu kullanınız:

Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion

Eğer mevcut sürümünüz yukarıdaki sürümlerden daha düşük ise öncelikle CU yükseltmesi yapmanız gereklidir.

Çözüm Önerileri

Etkilenen sistemler için en kısa sürede güncelleme yapılması gerekmektedir.

Referanslar

1)https://www.cozumpark.com/microsoft-exchange-server-uzaktan-kod-yurutme-guvenlik-acigi-cve-2020-16875-microsoft-exchange-server-remote-code-execution-vulnerability/

2)https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16875

3) https://www.microsoft.com/en-us/download/details.aspx?id=102013

 

 

Devamı..

Apache Tomcat için Kritik Güvenlik Açığı RCE (CVE-2020-9484) - yazma ve istismar

Apache Tomcat için yeni bir uzaktan kod yürütme güvenlik açığı açıklandı.

Bu güvenlik açığından yararlanılabilmesi için bir dizi önkoşul vardır:

·        - PersistentManager etkinleştirilmiş ve FileStore kullanılacak şekilde yapılandırılmış olmalıdır.

·       - PersistenceManager, sessionAttributeValueClassNameFilter = "null" (SecurityManager kullanılmadıkça varsayılan) veya saldırgan tarafından sağlanan nesnenin deserialization saldırısına olanasak sağlayan bir filtre ile yapılandırılmış olmalıdır.

·        -Saldırgan bir dosya yükleyebilir,yüklediği dosyanın adı ve içeriği üzerinde denetime sahip olabilir ve bu dosyanın konumunu bilir.

·       - ClassPath’de Java deserialization saldırısı için kullanılabilecek araçlar olmalıdır.

Etkilenen Versiyonlar

·         -Apache Tomcat 10.x < 10.0.0-M5

·        - Apache Tomcat 9.x < 9.0.35

·        - Apache Tomcat 8.x < 8.5.55

·         -Apache Tomcat 7.x < 7.0.104

Tomcat PersistentManager

Tomcat, oturum yönetimi yapan bileşeni tanımlamak için “Manager” kelimesini kullanır. Oturumlar, istemci istekleri arasındaki durumu korumak için kullanılır ve bunun nasıl yapılacağı hakkında birden fazla karar verilir. Örneğin:

·         -Oturum bilgileri nerede saklanır? Bellekte mi yoksa diskte mi?

·         -Hangi biçimde saklanır? JSON, serilalized object vb.

·        - Oturum kimlikleri nasıl oluşturulur?

·         -Hangi oturum özelliklerini korumak istiyoruz?

Tomcat kullanılabilecek iki uygulama sunar:

·        - org.apache.catalina.session.StandardManager (varsayılan)

·         -org.apache.catalina.session.PersistentManager

StandardManager oturumları hafızada tutar. Tomcat düzgün bir şekilde kapatılırsa, oturumları disk üzerindeki serialized bir nesnede (varsayılan olarak “SESSIONS.ser” olarak adlandırılır) depolar.

PersistentManager de aynı şeyi yapar, fazladan boş oturumları değiştirir. Bir oturum x saniye boyunca boşta kalırsa, diskte değiştirilir.Amaç bellek kullanımının azaltmaktır.

Değiştirilen oturumların nerede ve nasıl saklanmasını istediğinizi belirleyebilirsiniz. Tomcat iki seçenek sunar:

·         FileStore: takas edilen her oturumun, oturum kimliğine göre adıyla bir dosya olarak saklanacağı bir dizin belirtir.

·         JDBCStore: veritabanında, değiştirilen her oturumun ayrı satır olarak depolanacağı bir tablo belirtir.

Yapılandırma

Varsayılan olarak, Tomcat StandardManager etkin olarak çalışır. Yönetici, conf / context.xml dosyasını değiştirerek PersistentManager'ı kullanacak şekilde yapılandırabilir:

<Manager className="org.apache.catalina.session.PersistentManager"

         maxIdleSwap="15"> 

  <Store className="org.apache.catalina.session.FileStore"

         directory="./session/" />

</Manager> 

Context.xml içinde yazılmış bir Manager etiketi yoksa, StandardManager kullanılır.

Exploit

Tomcat bir JSESSIONID cookisi içeren bir HTTP isteği aldığında, yöneticiden bu oturumun mevcut olup olmadığını kontrol etmesini ister. Saldırgan, istekte gönderilen değeri kontrol edebildiğinden, “../../../../../../tmp/12345“ gibi bir şey koyarsa ne olur?

·         -Tomcat, yöneticiden oturum kimliği “../../../../../../tmp/12345” olup olmadığını kontrol etmesini ister.

·         -Önce o oturumun bellekte olup olmadığını kontrol eder.

·         -Bellekte değildir. Ancak şu anda çalışan yönetici bir PersistentManager'dır, bu nedenle oturumun diskte olup olmadığını da kontrol edecektir.

·         -Değerlendirilen "./Session/../../../../../../tmp/12345.session",  konum dizini + sessionid + ".session" 'da kontrol eder.

·        -Dosya varsa, bu dosyanın serisini kaldırır ve oturum bilgilerini ondan ayrıştırır.

Web uygulaması, oturum bilgileri içeren bir kötü amaçlı serialized nesneyle karşılaştığında HTTP 500 hatasını döndürür.

Kırmızı ile işaretlenmiş yukarıdaki görüntüdeki satırda PersistentManager'ın oturumu FileStore'dan yüklemeye çalıştığını görüyoruz. Mavi çizgi deserialize nesneyi gösterir. Hata, deserialization başarılı olduktan sonra nesneyi bir oturum olarak yorumlamaya çalıştığından dolayı atılır. Kötü amaçlı kod bu noktada yürütülür.

Güvenlik açığından yararlanmak için kalan tek şey saldırganın /tmp/12345.session konumuna kötü amaçlı bir serialized nesne koymasıdır.

Sadece bir HTTP isteği ile istismar oluşturulamaz. Ancak tomcat için yazılmış kullanışlı bir PoC vardır, bunun için GitHub sayfasına bakın.  https://github.com/masahiro331/CVE-2020-9484

Sonuç

Bu saldırı yüksek etkiye sahiptir (RCE), ancak yerine getirilmesi gereken koşullar sağlandığında sömürü olasılığı azaltılır.

PersistentManager'ın tomcat yöneticisi tarafından manuel olarak etkinleştirilmesi gerekir.

Saldırgan, kötü amaçlı dosyayı sunucuya yerleştirmek için ayrı bir dosya yükleme güvenlik açığı bulmalıdır.

Classpath’de  Java deserialization saldırısı tarafından kullanılmaya açık olan kütüphaneler olmalıdır.(örn. Gadget'lar)

Tomcat'in birçok versiyonu bu zafiyetten etkilenmektedir.

Çözüm Önerisi

Apache Tomcat bu güvenlik açığını gidermek için resmi olarak yeni bir sürüm yayınladı. Etkilenen kullanıcıların Tomcat'i en kısa sürede etkilenmeyen sürüme yükseltmeleri önerilir.

Yükseltme yapamayan kullanıcılar ve yöneticiler FileStore işlevini geçici olarak devre dışı bırakabilir veya yalnızca belirli niteliklere sahip nesnelerin serialised/deserialised sağlamak için sessionAttributeValueClassNameFilter değerini ayrı ayrı yapılandırabilir.

Referanslar

1. https://www.csa.gov.sg/singcert/alerts/al-2020-015#:~:text=Apache%20Tomcat%20has%20released%20a,the%20PersistenceManager%20with%20a%20FileStore.

2. https://github.com/masahiro331/CVE-2020-9484

3. https://www.redtimmy.com/java-hacking/apache-tomcat-rce-by-deserialization-cve-2020-9484-write-up-and-exploit/

4. https://tomcat.apache.org/security.html

5. https://meterpreter.org/cve-2020-9484-apache-tomcat-remote-code-execution-vulnerability-alert/

Devamı..

Citrix ADC ve Unified Gateway üzerinde kritik bir güvenlik açığı keşfedildi

Genel Bilgi

Citrix ADC ve Unified Gateway üzerinde kritik bir güvenlik açığı keşfedildi.

Citrix ADC (Application Delivery Controller), uygulamaların performansını hızlandıran, 4. ve 7. katman yük dengeleme özelliği ile uygulama kullanılabilirliğini artıran, kritik uygulamaları saldırılara karşı koruyan ve hesaplama açısından yoğun olan işlemleri düşürerek sunucu giderlerini azaltan bir uygulama denetleyicisidir.

Unified Gateway ise bu uygulamaların çalıştığı sunucuların yerel ağlarına uzaktan erişim sağlamaktadır.

Zafiyetten etkilenen sürümler:

Citrix ADC and Citrix Gateway version 13.0 all supported builds

Citrix ADC and NetScaler Gateway version 12.1 all supported builds

Citrix ADC and NetScaler Gateway version 12.0 all supported builds

Citrix ADC and NetScaler Gateway version 11.1 all supported builds

Citrix NetScaler ADC and NetScaler Gateway version 10.5 all supported builds

Etki

Güvenlik açığı Citrix ADC ve Unified Gateway yazılımları üzerinde rastgele kod çalıştırmalarına olanak vermektedir. Bu güvenlik açığından başarıyla yararlanılması, kimliği doğrulanmamış bir saldırganın şirket içi uygulamalara erişmesine izin vermektedir. CVE-2019-19781

Çözüm

Citrix herhangi bir düzeltme yayınlamamıştır. Düzeltmeler yapılana kadar zafiyetin etkisini azaltmak için konfigürasyon ve yazılım güncellenmesi yapılması gerekmektedir.  https://support.citrix.com/article/CTX267679

Kaynaklar

https://nvd.nist.gov/vuln/detail/CVE-2019-19781

https://www.cozumpark.com/citrix-sunucular-dunya-genelinde-taraniyor/

 

Devamı..

CVE-2020-0688: SABİT KRİPTOGRAFİK TUŞLAR İLE MICROSOFT EXCHANGE SERVER’DA UZAKTAN KOD YÜRÜTME

Microsoft, Microsoft Exchange Server'daki bir uzaktan kod yürütme hatasını gidermek için bir düzeltme eki yayınladı.

Microsoft, bu hatanın bir bellek bozulması güvenlik açığı nedeniyle olduğunu ve güvenlik açığı bulunan bir Exchange sunucusuna gönderilen özel hazırlanmış bir e-posta tarafından kullanılabileceğini belirtti. Bunun nedeni, neredeyse tüm kullanıcıların bir Exchange posta kutusu olması ve sınırlı ayrıcalıklara sahip olmalarına rağmen sunucuda kimlik doğrulaması yapabilmesidir. Bu, hiçbir şekilde bir saldırgan için bir engel değildir, çünkü kimlik doğrulama bu güvenlik açığından başarıyla yararlanmak için tek gereksinimdir.Bu kusurdan yararlanmak için saldırganların yalnızca internetten erişilebilen savunmasız sunucular bulmaları, Outlook Web Access (OWA) portal URL'sinden topladıkları e-posta adreslerini aramaları ve veri ihlallerinden ilgili dökümleri almaları gerekir. Daha sonra, sadece bir kimlik bilgisi doldurma saldırısı başlatmalı ve isabet alana ve sunucuya giriş yapana kadar buna devam etmelidirler.

Güvenlik açığı, Exchange Server'ın kurulum sırasında unique kriptografik anahtarlar oluşturamaması nedeniyle ortaya çıkar. Özellikle, hata Exchange Control Panel (ECP) bileşeninde bulunur. Kurulum  başında rasgele oluşturulan anahtarlar yerine, Microsoft Exchange Server’ın tüm yüklemeleri web.config dosyasında aynı validationKey ve decryptionKey değerlerine sahiptir. Bu anahtarlar ViewState için güvenlik sağlamak için kullanılır. ViewState, ASP.NET web uygulamalarının istemcide serileştirilmiş biçimde sakladığı sunucu tarafı verilerdir. İstemci, bu verileri __VIEWSTATE istek parametresi aracılığıyla sunucuya geri sağlar.Statik anahtarların kullanılması nedeniyle, saldırgan sunucuyu kötü niyetle hazırlanmış ViewState verilerinin serisini kaldırması için kandırabilir. YSoSerial.net'in yardımıyla bir saldırgan, Exchange Control Panel web uygulaması bağlamında sunucuda rasgele .NET kodu çalıştırabilir ve SYSTEM olarak çalışır.

Bu güvenlik açığından yararlanmak için, kimliği doğrulanmış bir oturumdan ViewStateUserKey ve __VIEWSTATEGENERATOR değerlerini toplamamız gerekir. ViewStateUserKey, ASP.NET _SessionID çerezinden alınırken, ViewStateUserKey gizli bir alanda bulunabilir. Tüm bunlar tarayıcıdaki standart geliştirici araçları kullanılarak kolayca elde edilebilir.

Başlamak için /ecp/default.aspx sayfasına gidin ve giriş yapın. Kullanılan hesabın herhangi bir özel ayrıcalığa sahip olması gerekmez. Bu örnekte, user adlı bir hesap kullanılmaktadır:

Devam etmek için bazı bilgiler toplamamız gerekiyor. En değerli kısım zaten bilinmektedir:

validationkey = CB2721ABDAF8E9DC516D621D8B8BF13A2C9E8689A25303BF

validationalg = SHA1

ViewStateUserKey ve __VIEWSTATEGENERATOR'u elde etmek için Geliştirici Araçları'nın (F12) Ağ sekmesini açın ve F5 tuşuna basarak isteği yeniden gönderin. Giriş yaparken /ecp/default.aspx isteğinin yanıtına ihtiyacımız vardır:

Gördüğünüz gibi, __VIEWSTATEGENERATOR değeri sayfa kaynağında görülebilir. Bu örnekte, değeri B97B4E27'dir. Büyük olasılıkla, değeriniz aynı olacaktır. Ardından, Başlıklar sekmesini açın ve İstek başlıklarında ASP.NET_SessionId cookie sini bulunuz:

Bu örnekte, değeri 05ae4b41-51e1-4c3a-9241-6b87b169d663'tür.

Artık bir saldırı gerçekleştirmek için gereken tüm bilgilere sahibiz:

         --validationkey = CB2721ABDAF8E9DC516D621D8B8BF13A2C9E8689A25303BF

         --validationalg = SHA1

         - generator = B97B4E27

         --viewstateuserkey = 05ae4b41-51e1-4c3a-9241-6b87b169d663

Bir sonraki adım, ysoserial.net kullanarak bir ViewState payloadu oluşturmaktır. C: \ Vuln_Server.txt dosyasını oluşturarak kod çalıştırılmasını sağlayan bir payload oluştururuz:

      ysoserial.exe -p ViewState -g TextFormattingRunProperties -c "echo OOOPS!!! > c:/Vuln_Server.txt" --validationalg="SHA1" --validationkey="CB2721ABDAF8E9DC516D621D8B8BF13A2C9E8689A25303BF" --generator="B97B4E27" --viewstateuserkey="05ae4b41-51e1-4c3a-9241-6b87b169d663" --isdebug –islegacy

Son olarak, ViewState payloadunu URL-encoded olarak aşağıdaki gibi bir URL oluşturmamız gerekir:

/ecp/default.aspx? __ VIEWSTATEGENERATOR = <jeneratör> & __ viewstate = <ViewState>

yukarıda elde edilen generator ve URL-encoded ViewState'in yerine kullanılır.

Daha sonra, ortaya çıkan URL'i tarayıcıya yapıştırıp Exchange sunucusuna göndeririz:

Sunucu 500 Unexpected Error veriyor, ancak saldırı başarılı. Hedef sunucu üzerindeki etkinin incelenmesi:

Vuln_Server.txt dosyası şuan mevcuttur. Dosyadaki sahiplik bilgilerinin incelendiğinde bir SYSTEM belirteci olan bir işlem tarafından oluşturulduğunu onaylar.

Bu, bir saldırganın SYSTEM olarak rasgele kod yürütebildiğini ve hedef Exchange sunucusunu tamamen tehlikeye atabildiğini gösterir.

ETKİLENEN SİSTEMLER

Desteklenen tüm Microsoft Exchange Server sürümleri için güvenlik güncelleştirmelerini aşağıdaki linklerden indirebilirsiniz:

Microsoft Exchange Server 2010 SP3 Update Rollup 30 ->https://www.microsoft.com/en-us/download/details.aspx?id=100910

Microsoft Exchange Server 2013 Cumulative Update 23 ->https://www.microsoft.com/en-us/download/details.aspx?id=100909

Microsoft Exchange Server 2016 Cumulative Update 14->https://www.microsoft.com/en-us/download/details.aspx?id=100907

Microsoft Exchange Server 2016 Cumulative Update 15 ->https://www.microsoft.com/en-us/download/details.aspx?id=100908

Microsoft Exchange Server 2019 Cumulative Update 3 ->https://www.microsoft.com/en-us/download/details.aspx?id=100905

Microsoft Exchange Server 2019 Cumulative Update 4 ->https://www.microsoft.com/en-us/download/details.aspx?id=100906

ÇÖZÜM ÖNERİLERİ

Tüm yazılımları, minimum erişim haklarına sahip, ayrıcalıklı olmayan bir kullanıcı olarak çalıştırın. Gizli güvenlik açıklarının etkisini azaltmak için, yönetici olmayan yazılımları her zaman en az erişim haklarına sahip bir kullanıcı olarak çalıştırın.

Ağ trafiğini kötü amaçlı etkinliklere karşı izlemek için Network Intrusion Detection System(NIDS) kullanın. Bu, başarılı istismarlardan kaynaklanan istismar girişimlerini veya faaliyetlerini gösterebilir.

Bilinmeyen veya güvenilmeyen kaynaklar tarafından sağlanan bağlantılara gitmeyin.Web kullanıcıları, yabancı veya şüpheli kaynaklar tarafından sağlanan sitelere olan bağlantılara gitme konusunda dikkatli olmalıdır. HTML'yi e-postalardan filtrelemek, kullanıcılara kötü amaçlı bağlantılar iletmek için olası bir vektörün kaldırılmasına yardımcı olabilir.

Birden fazla güvenlik katmanı uygulayın. Memory-protection schemes (gerçekleştirilemeyen yığın, yığın yapılandırmaları ve rastgele eşlenen bellek segmentleri gibi), bellek bozulması güvenlik açıklarından yararlanılmasını zorlaştırır.

Güncellemeler yapınız.

SONUÇ

Microsoft bu güvenlik açığını Şubat 2020'de CVE-2020-0688 olarak ekledi. Bu güvenlik açığını “Microsoft Exchange'in kurulum sırasında anahtarları nasıl oluşturduğunu düzelterek” giderdiler. Artık yükleme sırasında kriptografik anahtarları rastgele seçmektedir. Microsoft, büyük olasılıkla bir saldırganın önce kimlik doğrulaması yapması gerektiği için bunu önem derecesi olarak değerlendirdi.

Bir kuruluş içerisinde çoğu kullanıcının Exchange sunucusunda kimlik doğrulaması yapmasına izin verilir. Herhangi bir kurumsal kullanıcının cihazını veya kimlik bilgilerini tehlikeye atan bir saldırgan, Exchange sunucusunu ele geçirmeye devam edebilir. Bunu başardıktan sonra, saldırgan kurumsal e-posta iletişimini istediği gibi açığa vurabilir veya farklı bir şekilde konumlandırabilir.

Buna göre, bir Exchange Server yöneticisiyseniz, bunu kritik olarak derecelendirilmiş bir yama olarak değerlendirmeli ve gerekli önlemleri almalısınız.

Microsoft bunu 1 Exploit Dizini ile listeler ve bu yama yayınından sonraki 30 gün içinde istismar görmeyi bekledikleri anlamına gelir.

REFERANSLAR

1)https://www.thezdi.com/blog/2020/2/24/cve-2020-0688-remote-code-execution-on-microsoft-exchange-server-through-fixed-cryptographic-keys

2)https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0688

3) https://www.bleepingcomputer.com/news/security/hackers-scanning-for-vulnerable-microsoft-exchange-servers-patch-now/

4) https://us.norton.com/online-threats/microsoftexchangecve-2020-0688remotememorycorruptionvul-111753-vulnerability.html

Devamı..

GhostCat: Yeni Yüksek Riskli Güvenlik Açığı Apache Tomcat Çalışan Sunucuları Etkiliyor !

GhostCat: Yeni Yüksek Riskli Güvenlik Açığı Apache Tomcat Çalışan Sunucuları Etkiliyor

 Apache Tomcat'in tüm sürümleri (9.x / 8.x / 7.x / 6.x) yeni bir kritik zaafiyet ortaya çıktı. Web sunucunuz Apache Tomcat üzerinde çalışıyorsa, saldırganların sunucu üzerinde yetkisiz bir şekilde kontrolü eline almasını önlemek için sunucu uygulamasının en son sürümünü hemen yüklemelisiniz. Ayrıca internette bu istismarın yer almasıyla herkesin erişebileceği savunmasız web sunucularını hacklemesini kolaylaştırdı. 'Ghostcat' olarak adlandırılan ve CVE-2020-1938 olarak geçen istismar, kimliği doğrulanmamış saldırganların savunmasız bir web sunucusundaki herhangi bir dosyanın içeriğini okumasına ve hassas yapılandırma dosyaları veya kaynak kodu almasına, sunucu dosyaya izin veriyorsa rastgele kod yürütmesine izin verebilir.

Güvenlik açığı, bir özelliğin yanlış işlenmesi nedeniyle ortaya çıkan Apache Tomcat yazılımının AJP protokolünde yatmaktadır. Site, kullanıcıların dosya yüklemesine izin veriyorsa, saldırgan önce sunucuya kötü amaçlı JSP komut dosyası kodu içeren bir dosya yükleyebilir (yüklenen dosya resim, düz metin dosyaları vb. herhangi bir dosya türünde olabilir) ve ardından yüklenen dosya ile uzaktan kod yürütülmesine neden olabilecek Ghostcat'ten yararlanılır. Apache JServ Protokolü (AJP) protokolü, Tomcat'in bir Apache web sunucusuyla iletişim kurmasını sağlamak için temel olarak HTTP protokolünün optimize edilmiş bir sürümüdür.

AJP protokolü varsayılan olarak etkinleştirilmiş ve TCP bağlantı noktası 8009'da dinlese de, 0.0.0.0 IP adresine bağlıdır ve ancak güvenilmeyen istemciler tarafından erişilebilir olduğunda istismar edilebilir. Açık kaynaklı ve siber tehdit istihbarat verileri için bir arama motoru olan 'onyphe' e göre, bir AJP Bağlayıcısı'nı yazma sırasında internet üzerinden herkese açık hale getiren 170.000'den fazla cihaz var.

Exploite ait kaynak kodu: https://www.exploit-db.com/exploits/48143

Etkilenen Sürümler

·       Apache Tomcat 9.x <9.0.31

·       Apache Tomcat 8.x <8.5.51

·       Apache Tomcat 7.x <7.0.100

·       Apache Tomcat 6.x

Apache Tomcat bu güvenlik açığını gidermek için 9.0.31, 8.5.51 ve 7.0.100 sürümleri yayınlandı.

Güvenlik açığını gidermek veya en aza indirmek için yapılacak birkaç adım aşağıdaki gibidir:

 Bu güvenlik açığını doğru bir şekilde gidermek için, önce Tomcat AJP Connector hizmetinin sunucu ortamınızda kullanılıp kullanılmadığını belirlemeniz gerekir. Eğer cluster veya reverse proxy kullanılmıyorsa, AJP’nin kullanılmadığını anlayabilirsiniz.  Aksi takdirde, cluster veya reverse sunucunun Tomcat AJP connector hizmetiyle iletişim kurup kurmadığını tespit etmeniz gerekli.

1. AJP Bağlayıcı hizmeti kullanılmıyorsa:

(1) <CATALINA_BASE> /conf/server.xml aşağıdaki satırı düzenleyin

<Connector port=”8009″ protocol=”AJP/1.3″ redirectPort=”8443″ />

(2) Yorum satırı hale getirin (veya silin):

<!–<Connector port=”8009″ protocol=”AJP/1.3″ redirectPort=”8443″ />–>

(3) Düzenlemeyi kaydedin ve ardından Tomcat’i yeniden başlatın.

Yukarıdaki önlemlere ek olarak, güvenilmeyen kaynakların Tomcat AJP Connector hizmet portuna erişmesini önlemek için firewallda da gerekli erişim izinlerini düzenleyiniz.

2- AJP Connector hizmeti kullanılıyorsa:

AJP Connector hizmeti kullanılıyorsa, Tomcat’i 9.0.31, 8.5.51 veya 7.0.100 sürümüne yükseltmenizi ve ardından AJP Connector kimlik doğrulama bilgilerini ayarlamak için AJP Connector için “scret” özelliğini yapılandırmanız öneriliyor.

<Connector port=”8009″ protocol=”AJP/1.3″ redirectPort=”8443″ address=”YOUR_TOMCAT_IP_ADDRESS” secret=”YOUR_TOMCAT_AJP_SECRET” />

Yükseltme yapamıyorsanız, AJP Bağlayıcısı için AJP protokolü kimlik doğrulama bilgilerini ayarlamak üzere “requiredSecret” özniteliğini yapılandırabilirsiniz.

<Connector port=”8009″ protocol=”AJP/1.3″ redirectPort=”8443″ address=”YOUR_TOMCAT_IP_ADDRESS” requiredSecret=”YOUR_TOMCAT_AJP_SECRET” />

(Yukarıdaki “YOUR_TOMCAT_AJP_SECRET” i kolayca tahmin edilemeyen veya kırılamayan daha güvenli bir şifre ile değiştirmeyi unutmayınız.)

Çözüm Önerisi

·       Bu istismarı önlemek için Apache Tomcat'i en son sürümüne güncellemek önerilmektedir.En son sürümler ayrıca diğer 2 düşük önem düzeyli HTTP request smuggling sorununu (CVE-2020-1935 ve CVE-2019-17569) giderir.

·       Web yöneticilerinin yazılım güncellemelerini mümkün olan en kısa zamanda uygulaması önemle tavsiye edilir ve güvenli olmayan kanal üzerinden iletişim kurduğu ve güvenilir bir ağda kullanılması gerektiği için AJP bağlantı noktasını güvenilmeyen istemcilere asla göstermemeleri önerilir.

·       Bununla birlikte, herhangi bir nedenle etkilenen web sunucunuzu hemen yükseltemezseniz, AJP Bağlayıcısı'nı doğrudan devre dışı bırakabilir veya dinleme adresini localhost olarak değiştirebilirsiniz.

·       AJP kullanmıyorsanız, server.xml dosyasındaki 8009 numaralı bağlantı noktasında AJP bağlantısını devre dışı bırakın. AJP'nin gelecekte yanlışlıkla yeniden etkinleştirilmesi durumunda bağlantı noktasına harici erişimi engellenmelidir.

·       AJP kullanıyorsanız, yamalanmış AJP koduyla Tomcat sürümünüzü yeni güncellenen sürümlerle güncelleyin.

·       Yalnızca güvenilir ana bilgisayarlardan AJP bağlantılarına izin veren firewall kuralları belirleyin.

Referanslar

1)      https://thehackernews.com/2020/02/ghostcat-new-high-risk-vulnerability.html

2)      https://nvd.nist.gov/vuln/detail/CVE-2019-17569

3)      https://nvd.nist.gov/vuln/detail/CVE-2020-1935

4)      https://nvd.nist.gov/vuln/detail/CVE-2020-1938

5)      https://www.exploit-db.com/exploits/48143

6)      https://www.chaitin.cn/en/ghostcat

7)      https://liferay.dev/blogs/-/blogs/tomcat-9-0-31-ghostcat-and-ajp

Devamı..