Alibaba Cloud Nesne Depolama Hizmeti’nde (OSS) önemli bir güvenlik açığı keşfedilmiştir, bu da yetkisiz kullanıcıların bulut depolama alanına veri yüklemesini sağlar.
Bu yanlış yapılandırma, yetkisiz veri depolama, hassas dosyaların üzerine yazma ve potansiyel veri ihlalleri gibi riskler oluşturmaktadır.
Güvenlik açığı, kullanıcıların kimlik doğrulaması yapmadan dosyaları yüklemesine olanak tanıyan HTTP Put yönteminin yanlış yapılandırmasından kaynaklanır.
İstismarın teknik dökümü
Bir güvenlik araştırmacısı olan Muhammed Waseem tarafından detaylandırılan keşif süreci aşağıdaki adımları içeriyordu:
Rutin ağ taraması sırasında 403 yasak tepki, Alibaba Cloud OSS’de barındırılan bir kaynağa kısıtlı erişimi işaret etti.
Wappalyzer tarayıcı uzantısı kullanılarak, platformun depolama altyapısı için Alibaba OSS’ye güvendiği doğrulandı. Daha sonra, Burp Suite ilk isteği ele geçirdi ve sunucu 403 hatasıyla yanıt verdi, ancak aliyunoss platform kimliğini açıkladı.
Değiştirilmiş bir HTTP koyma isteği bir test json dosyası (poc.json) yükledi ve sunucu, başarılı yüklemeyi doğrulayarak 200 OK durumunu döndürdü.
Yüklenen dosyaya https://target.com/poc.json adresinden erişilebilir ve yanlış yapılandırmanın sömürülebilirliğini göstermiştir.
Bu güvenlik açığı:
- Yetkisiz veri depolama: Saldırganlar kötü niyetli içerik barındırabilir veya verileri dışarı atabilir.
- Dosya üzerine yazma: Kritik operasyonel veriler değiştirilebilir veya yok edilebilir.
- Veri ihlalleri: Okuma erişim yanlış yapılandırmaları ile birleştirilirse hassas bilgiler ortaya çıkabilir.
Öneriler
Bu riskleri ele almak için kuruluşlar şu uygulamaları uygulamalıdır:
- Kova ACL’lerini özel olarak ayarlayın ve IAM politikaları aracılığıyla en az ayrı erişimi uygular.
- Açıkça gerekmedikçe kamuya açık yazma izinlerini devre dışı bırakın.
- OSS işlemleri için çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin.
- Kimlik bilgisi sızıntılarını azaltmak için AccessKey çiftlerini düzenli olarak döndürün.
- Gerçek zamanlı tehdit algılama ve güvenlik açığı değerlendirmeleri için Alibaba Cloud’un güvenlik merkezini kullanın.
- Beklenmedik Put/Post istekleri için denetim günlükleri.
- Hassas Veri için Sunucu tarafı şifreleme (SSE) veya istemci tarafı şifrelemesini uygulayın38.
- Veri iletimi için yalnızca HTTPS kullanın.
Alibaba OSS uyumluluk sertifikaları, şifreleme ve solucan (çok okuduktan sonra yazın) tutma politikaları sunarken, bu olay bulut güvenliğinde paylaşılan sorumluluk modelinin altını çiziyor. Kullanıcılar, yalnızca sağlayıcı varsayılanlarına güvenmek yerine korumaları aktif olarak yapılandırmalıdır.
Are you from SOC/DFIR Teams? – Analyse Malware Files & Links with ANY.RUN Sandox -> Start Now for Free.