Zafiyet araştırmacılığı konusunda birçok başarıya imza atmış, Zoom, Microsoft, Apple, Whatsapp gibi birçok küresel şirketin güvenlik açığını tespit etmiş Gais Cyber Security Researcher ekibi bu seferde Kıdemli Siber Güvenlik Mühendisi Numan Türle ile 9.8 kritik skora sahip bir zafiyet buldu.
Açık kaynak ve ücretsiz olarak kullanılabilen en popüler hosting kontrol paneli uygulamalarından CentOS Web Panel (CWP) tüm dünyada 200.000'den fazla sunucuda kullanılıyor. Bu web tabanlı kontrol paneli kullanıcıların web sitelerini ve sunucularını yönetmelerini sağlar. Özellikleri arasında e-posta hesapları oluşturma, veritabanları yönetimi ve yazılım yükleme gibi fonksiyonlar da yer alıyor.
Zafiyet Tespiti Gais Cyber Security ekibinden Kıdemli Siber Güvenlik Mühendisi Numan Türle popüler yönetim paneli olan CWP için bir yetkisiz uzaktan kod yürütme (RCE) zafiyeti buldu. Bu zafiyet 0.9.8.1147 sürüm numarasıyla bir güvenlik güncelleştirmesiyle düzeltildi. Dünyadaki siber saldırıların veri tabanını oluşturan siber saldırı ansiklopedisi Mitre tarafından bu zafiyete CVE-2022-44877 kimlik numarası atandı. Dünyada çok az sayıda kritik güvenlik seviyesi 10 olan zafiyet bulunurken, ABD Ulusal Güvenlik Açığı Veritabanı verilerine göre bu zafiyet 9.8 skora sahip kritik seviyede değerlendirildi.Zafiyetin AçıklamasıNuman Türle'nin paylaştığı bilgilere göre zafiyet bir komutun çıktısını başka bir komutun girdisi olarak kullanmaya imkân sağlayan yapı “Command Substitution” kaynaklı oluşmuş. Bu da güvenlik zafiyetinin aslında yanlış bir loglama işleminden meydana geldiğini gösteriyor. Zafiyet, bu yönetim panelinde oturum açmaya çalışan bir kullanıcının hatalı işlemlerinin kayıt altına alındığı bilgi mimarisinde, hatalı kayıtların Request_URI adresini çift tırnaklar içerisinde kullanması sebebiyle ("command substitution") ortaya çıkmaktadır. Kullanıcıdan alınan değerler komut satırının kolayca değişmesini sağlayan “bash” özelliği ile birleştirilmekte ve bunun sonucunda güvenlik zafiyeti tetiklenmektedir.
https://github.com/numanturle/CVE-2022-44877
https://www.youtube.com/watch?v=kiLfSvc1SYY
ABD Ulusal Güvenlik Kurumu Direktörü Rob Joyce, Numan Türle’nin bulduğu zafiyeti sosyal medyasında örnek göstererek uzaktan kod yürütme yolu ile ilerletilen bu güvenlik açığına dair önlemin benzer paneller için de alınması gerektiğini söyledi. Dünyadaki zafiyet açıklarını yayınlayan yabancı haber kaynakları ve hacker toplulukları da kendi sayfalarında ayrı ayrı bu haberi duyurdular. İlgili haber kaynaklarına aşağıdaki linklerden ulaşabilirsiniz.
https://twitter.com/NSA_CSDirector/status/1613850710453501955
https://thehackernews.com/2023/01/alert-hackers-actively-exploiting.html
https://portswigger.net/daily-swig/exploit-drops-for-remote-code-execution-bug-in-control-web-panel
Galeri
