Güvenlik araştırmacısı Ionuț Cernica, Linux kamu hizmetlerinin çok kiracılı ortamlarda hassas verileri sifonla nasıl silahlandırılabileceğini açıkladı.
“Sessiz Sızıntılar: Paylaşılan Linux ortamlarından sırları hasat etmek”, herhangi bir kök ayrıcalıkları veya sıfır gün istismarları olmadan, saldırganların veritabanı kimlik bilgileri, API anahtarları ve kullanıcı sırlarını hasat etmek için standart araçlardan yararlanabileceğini ortaya koydu.
Bir Saldırı Vektörü Olarak Süreç Görünürlüğü
Linux’un şeffaf süreç modeli, herhangi bir kullanıcının /Proc /aracılığıyla çalışan işlemlerin komut satırlarını incelemesine olanak tanır.[pid]/cmdline ve ps auxww ve pgrep gibi komutlar.
Hata ayıklama ve sistem izleme için tasarlanmış olsa da, bu açıklık yanlışlıkla saldırganlara bir keşif avantajı sağlar.
Sürekli olarak yoklama işlemi bilgileri ile, perakentsiz bir kullanıcı aktif işleri ortaya çıkarabilir ve veritabanı kullanıcı adları ve şifreler gibi parametreleri çıkarabilir.
Cernica, WordPress CLI invokasyonlarının düz metin kimlik bilgilerini maruz bıraktığı paylaşılan barındırma platformlarında gerçek dünya senaryoları gösterdi -db_user ‘wp_new_user’ ve db_password ‘t3sting123 !!
Birçok barındırma sağlayıcısı, cagefs gibi sanal alan kullanıcılarına chroot hapishanelerine veya sanallaştırma katmanlarına güvenir. Yine de Cernica, ayrıcalıklı ikili dosyalar bu kısıtlı ortamların dışında çalıştığında izolasyonun zayıflatılabileceğini gösterdi.
Canlı bir demoda, cageF’lerden kaçmak ve ana bilgisayar seviyesi komutlarını yürütmek için barındırma panel tarafından sağlanan bir ikili kullandı. Benzer şekilde, korunmuş bir dosya yöneticisinde, hapishaneden tamamen kurtulmak için belgesiz bir komuttan yararlandı.
Litespeed Web Server’ın paylaşılan hata günlüğü ile şaşırtıcı bir sızıntı kanalı ortaya çıktı.
Global Stderr.log Via/Proc/Self/FD/2’yi okuyarak, Cernica, taşıyıcı belirteçleri, oturum çerezleri ve form kimlik bilgileri de dahil olmak üzere diğer kullanıcıların komut dosyalarından canlı hata çıktılarını yakaladı – paylaşılan günlüklerin nasıl eksfiltrasyon noktaları haline gelebilir.
Litespeed ekibi kusuru günler içinde yamaladı, ancak bu düzeltme tüm dağıtımlarda hızlı bir şekilde yayılmayabilir.
/TMP gibi geçici dizinler geçici ama kritik bir güvenlik açığı sunar. Uygulamalar sıklıkla SQL dökümlerini, günlükleri ve yapılandırma dosyalarını /TMP’ye yazarak sırları kısaca ortaya çıkarır.
Cernica’nın izleme komut dosyası, bu dosyaları Milisanya’da tespit etti ve açıkladı, Mailman ve MySQL kök parolalarıyla yükleme günlüklerini ve sabit kodlu yönetici kimlik bilgileri içeren geçici PHP komut dosyaları ortaya çıkardı.
Muayene yardımcı programlarını devre dışı bırakan /proc erişim ve kaldıran sistemler bile savunmasız kalır: Saldırganlar, sırları çıkarmak için dünya tarafından okunabilen komut dosyaları için basitçe tarayabilir /TMP’yi tarayabilir.
Cernica’nın bulguları, paylaşılan Linux ortamlarının güvence altına alınmasının, çekirdek düzeyinde hapishanelerden veya varsayılan izinlerden daha fazlasını gerektirdiğini vurgulamaktadır.
HidePid seçeneği ile montaj /Proc’a veya işlem görünümlerini izole etmek için kullanıcı ad alanlarını kullanmayı, komut satırlarından ziyade güvenli tonozlardan kimlik bilgilerini tedarik etmesini ve kullanıcı başına günlük dosyalarını uygulamak tavsiye eder.
Ayrıca, kullanıcı başına geçici dizinleri izole etmek ve bu sessiz sızıntıları hedefleyen kırmızı takım egzersizleri yapmak, savunmaları doğrulamak için çok önemlidir.
Organizasyonlar, ev sahipliği, eğitim laboratuvarları veya konteyner hizmetlerinde olsun, ortak Linux altyapılarına giderek daha fazla güvenirken, Cernica’nın araştırması güçlü bir hatırlatma görevi görür: en güvenilir sistem işlevleri, en büyük zayıflıkları açığa çıkarır, genellikle en fazla zayıf yönlendirmeyi ortaya çıkarabilir.
Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin!