Caldera’daki Max-Severity hatası, saldırganların sistemlerin tam kontrolünü ele geçirmesini sağlar
Anviksha More (Anvikshamore) •
26 Şubat 2025
Gerçek hayattaki hackerlar, Hacking’i simüle etmek için kırmızı takım egzersizlerinde kullanılan bir platformu hackleyebilir, kullanıcıları yakında kusur için bir metasploit modülünü bırakacağı konusunda uyaran bir güvenlik araştırmacısı.
Ayrıca bakınız: Uygun bir BYOD politikası için kapsamlı kılavuz
“Öyleyse örneklerinizi yamayın! Veya daha iyisi – onları internete maruz bırakmayın!” Miter Caldera açık kaynaklı güvenlik test platformuna katkıda bulunan bağımsız güvenlik araştırmacısı Dawid Kulikowski yazdı.
Kulikowski, platformda, CVSS ölçeğinin şiddeti için 10 üzerinden 10’dan 10’u hak eden bir kusur belirledi. CVE-2025-27364 olarak izlenen, programlama dilleri gittiği ve Python ve GNU derleyici koleksiyonu Caldera yazılımı ile aynı sunucuda bulunduğu sürece Caldera’nın varsayılan yapılandırmalarında çalışır. Kulikowski, bu durumun çok daha olasıdır: “Caldera’nın ilk etapta tamamen işlevsel olması için bu bağımlılıkların tümü gereklidir.”
Bilgisayar korsanları, sunucu ile aynı ayrıcalıklarla kötü amaçlı kod enjekte etmek ve yürütmek için kusuru kullanabilir ve potansiyel olarak tam sistem uzlaşmasına yol açabilir.
Kusur, bir yama içeren en son sürüm – Master Branch veya v5.1.0+ – hariç, 2017’de yapılan ilk sürümlere geri uzanan her Caldera örneğini etkiler.
Caldera, gerçek dünyadaki siber telleri taklit etmek ve kuruluşların güvenlik savunmalarını test etmesine yardımcı olmak için tasarlanmış açık kaynaklı bir platformdur. Kırmızı takımlar saldırıları simüle etmek için kullanırken, mavi ekipler bu tehditleri kontrollü bir ortamda analiz eder ve yanıtlar. Platform, düşman taktiklerini otomatikleştirerek, gerçek saldırganlar gibi ağlarda hareket eden aracıları dağıtıyor.
Saldırganlar özel olarak hazırlanmış API istekleri göndererek CVE-2025-27364’ten yararlanabilir. Güvenlik açığı, platformun düşman emülasyonunu ve kırmızı takım egzersizlerini kolaylaştıran iki temel bileşeni olan Manx ve Sandcat ile bağlantılıdır. Sandcat, otomatik tehdit eylemlerini sağlayan saldırgan davranışını simüle etmek için varsayılan bir temsilcidir. MANX, geri ihlal edilen sistemlerde uzaktan komut yürütmeye izin veren ters bir kabuk olarak işlev görür.
Kusur, bu ajanların, kullanıcıların farklı ortamlarda nasıl çalıştıklarını özelleştirmelerini sağlayan bir özellik olan dinamik derlemeyi nasıl işlediğinde yatmaktadır. Özel olarak hazırlanmış HTTP başlıkları aracılığıyla, kullanıcılar aracı iletişim yöntemi, şifreleme anahtarları ve talimatları almak için bağlandığı sunucu adresi gibi kritik parametreleri tanımlayabilir. Sistem, aracı anında derler ve bu parametreleri doğrudan oluşturulan ikili içine yerleştirir. Aynı mekanizma, saldırganların keyfi kod enjekte etmesini ve sistem üzerinde tam kontrol kazanmasını sağlayarak kullanılabilir.
Kulikowski, Caldera sunucusunun dinamik derlemeyi işlerken uygun kimlik doğrulama mekanizmalarından yoksun olduğunu ve saldırganların etkilenen maddeleri çalıştıran sistemlere kötü niyetli komutlar enjekte etmesine izin verdiğini buldu. Etkiyi göstermek için CVE-2025-27364 için bir kavram kanıtı geliştirdi. POC’yi analizinin yanında yayınlarken, “senaryo çocuklarının kolayca kötüye kullanabilmesini önlemek için” kodda küçük değişiklikler yaptı.
Bu kısıtlama çok uzun sürecek. “Raporlayan yazar, önümüzdeki haftalarda tam özellikli bir metasploit modülü yayınlamayı planlıyor.”