Bulut tabanlı uygulama güvenlik platformlarının tanınmış bir sağlayıcısı olan Oxeye, yakın zamanda yaygın olarak kullanılan açık kaynaklı platformları etkileyen iki önemli güvenlik açığını açıkladı. Oxeye’nin gelişmiş AppSec Platformu tarafından keşfedilen güvenlik açıkları, potansiyel riskleri azaltmak için acil müdahale gerektirir.
Bu makale, bu güvenlik açıklarının ayrıntılarını ele almakta ve etkilenen uygulamaların güvenliğini sağlamak için önerilen eylemleri vurgulamaktadır.
Kendi Yayını Güvenlik Açığı
Güvenlik açıklarından biri (CVE-2023-3188), popüler bir açık kaynaklı, kendi kendine barındırılan canlı video akışı ve sohbet sunucusu olan Owncast’te bulundu. Oxeye’nin güvenlik araştırmacıları, kimliği doğrulanmamış saldırganların Owncast sunucusunu keyfi konumlara HTTP istekleri gönderecek şekilde manipüle ederek istismar etmesine olanak tanıyan bir Kimliği Doğrulanmamış Kör Sunucu Tarafı İstek Sahtekarlığı (SSRF) kusuru belirledi.
Saldırganlar, URL yollarını ve sorgu parametrelerini belirterek, potansiyel olarak Owncast sunucusunun güvenliğini tehlikeye atabilir. CNA CVSS tarafından 8,3/10 olarak derecelendirilen bu güvenlik açığının ciddiyeti, düzeltmenin aciliyetini vurgulamaktadır.
Dikkatli bir analizin ardından Oxeye Security, savunmasız kodun Owncast’in GetWebfingerLinks işlevinde olduğunu belirledi. Spesifik olarak sorun, “hesap” parametresinden geçirilen ve daha sonra bir URL olarak ele alınan kullanıcı kontrollü girdinin ayrıştırılmasında yatmaktadır. Güvenlik açığı, yetkisiz SSRF saldırılarına olanak tanıyarak uygulamanın güvenliği için ciddi bir tehdit oluşturuyor.
Bu kritik SSRF güvenlik açığını gidermek için Oxeye Security, Owncast sunucusunun HTTP istemcisinin HTTP yeniden yönlendirmelerini izlemesini yasaklamak gibi önlemlerin uygulanmasını önerir. Ek olarak, savunmasız uç noktayı yalnızca kimliği doğrulanmış kullanıcılarla sınırlamak, yetkisiz erişim riskini etkili bir şekilde en aza indirir.
EaseProbe Güvenlik Açığı
Oxeye ayrıca hafif ve bağımsız bir sağlık/durum kontrol aracı olan EaseProbe’da birden çok SQL enjeksiyon güvenlik açığını ortaya çıkardı. Yapılandırma Tabanlı SQL Enjeksiyonu olarak sınıflandırılan bu güvenlik açıkları, EaseProbe kullanıcıları için önemli güvenlik riskleri oluşturur. 9,8/10 (CVE-2023-33967) kritik NIST CVSS güvenlik puanıyla, bu güvenlik açıkları acil müdahale gerektirir.
Oxeye Security tarafından Golang uygulamaları için özel SAST çözümü kullanılarak gerçekleştirilen derinlemesine bir değerlendirme, savunmasız kodun EaseProbe’un (1, 2) MySQL ve Postgres veritabanı istemci kodunda bulunduğunu ortaya çıkardı.
Bu güvenlik açıklarından yararlanmak, EaseProbe’un yapılandırması üzerinde denetime sahip saldırganların yapılandırılmış veritabanlarındaki verileri okumasına, değiştirmesine veya silmesine olanak tanır. Bazı durumlarda, saldırganlar veritabanı sunucusunda rasgele sistem komutları bile yürütebilir.
Oxeye Security, bir Postgres veritabanında pratik bir istismar senaryosu göstererek bu güvenlik açıklarıyla ilişkili riskleri vurguladı. Güvenli olmayan şekilde biçimlendirilmiş veritabanı sorguları yoluyla kötü niyetli bir komutun enjeksiyonu, keyfi sistem komutlarının başarılı bir şekilde yürütülmesini sağladı.
Oxeye Security, SQL enjeksiyon saldırılarıyla ilişkili riskleri azaltmak için hazırlanmış ifadeler ve parametreleştirilmiş sorgular gibi uygun girdi temizleme tekniklerinin uygulanmasını önerir. Uygulamayı düzenli olarak güncellemek ve yama uygulamak, bilinen tüm güvenlik açıklarını etkili bir şekilde gidermek için de çok önemlidir.
İşbirlikçi Çözüm Çabaları
Oxeye Security, Owncast ve EaseProbe’un arkasındaki geliştirme ekiplerini derhal bilgilendirerek güvenlik açıklarının kapsamlı ayrıntılarını ve önerilen düzeltme adımlarını sağladı. Oxeye, ilgili ekiplerle yakın işbirliği içinde çalışarak çözüm sürecini hızlandırmayı ve etkilenen toplulukları korumayı amaçlıyor.
EaseProbe ekibinin bu güvenlik açıklarını 2.1.0 sürümünde ele aldığını ve kullanıcıların kurulumlarını buna göre güncellemelerini tavsiye ettiğini belirtmekte fayda var.
İLGİLİ MAKALELER
- Apple, Kritik Güvenlik Açığı Düzeltmek İçin Cihaz Güncellemeleri Yayınladı
- Güvenlik Açığı, OpenSea NFT Market Kullanıcılarının Kimliklerini Ortaya Çıkardı
- AB e-postalarını çalmak için Zimbra e-posta platformu güvenlik açığından yararlanıldı
- Kritik RCE Güvenlik Açığı, 330.000 Fortinet Güvenlik Duvarını Riske Atıyor
- Bing.com Güvenlik Açığı Devralmaya, Arama Sonucu Manipülasyonuna İzin Verdi