Singapur Siber Güvenlik Ajansı, Apache yazılım ürünlerinde bulunan bazı kritik güvenlik açıkları hakkında bir uyarı yayınladı. Apache Yazılım Vakfı, bu araçlara güvenen kullanıcılar ve kuruluşlar için risk oluşturabilecek bu güvenlik açıklarını gideren güvenlik yamalarını kullanıma sundu. Etkilenen güvenlik açıkları arasında CVE-2024-43441, CVE-2024-45387 ve CVE-2024-52046 yer alıyor.
CVE-2024-43441, CVE-2024-45387 ve CVE-2024-52046’ya genel bakış
Apache güvenlik açıkları arasında, CVE-2024-43441, karmaşık veri ilişkilerini yönetmek için yaygın olarak kullanılan bir grafik veritabanı sunucusu olan Apache HugeGraph-Server’ı etkiliyor. Bu güvenlik açığı, saldırganların kimlik doğrulama mekanizmalarını atlamasına ve hassas verilere yetkisiz erişim sağlama potansiyeline sahip olmasına olanak tanır. Sürümlerini etkiler 1.5.0 öncesi HugeGraph Sunucusu. Bu kusurun başarılı bir şekilde kullanılması, kötü niyetli kişilerin geçerli kimlik bilgileri sağlamadan kısıtlı sistemlere erişmesine olanak tanıyabilir.
İçerik dağıtım ağlarını (CDN’ler) yönetmek ve optimize etmek için popüler bir araç olan Apache Traffic Control’de başka bir güvenlik açığı olan CVE-2024-45387 belirlendi. Bu güvenlik açığı özellikle Apache Traffic Control’ün önemli bir bileşeni olan Traffic Ops’u 8.0.0’dan 8.0.1’e kadar olan sürümlerde etkilemektedir. Saldırganlar bu kusurdan yararlanarak SQL enjeksiyon saldırıları gerçekleştirebilir; bu da veritabanlarını manipüle etmelerine ve yetkisiz veri erişimine veya değiştirilmesine yol açabilir.
Üçüncü kritik güvenlik açığı CVE-2024-52046, çok çeşitli uygulamalarda kullanılan bir ağ uygulama çerçevesi olan Apache MINA’da mevcuttur. Bu güvenlik açığı, Java’nın seri durumdan çıkarma protokolünün hatalı işlenmesinden kaynaklanıyor ve saldırganların özel hazırlanmış serileştirilmiş veriler göndermesine olanak tanıyor.
Saldırganlar bu sorundan yararlanarak etkilenen sistemlerde uzaktan kod çalıştırabilir ve bu da tüm sistemin tehlikeye girmesine neden olabilir. Bu güvenlik açığı Apache MINA’nın 2.0.27, 2.1.10 ve 2.24’ten önceki sürümlerini etkilemektedir. Bu kusurun kötüye kullanılması, uzaktan kod yürütme (RCE) saldırılarına yol açarak etkilenen sürümlerin kullanıcıları için ciddi bir risk oluşturabilir.
Apache’deki Bu Güvenlik Açıklarıyla İlişkili Riskler Nasıl Azaltılabilir?
CVE-2024-43441 için Apache HugeGraph-Server kullanıcılarının ve yöneticilerinin 1.5.0 veya daha yüksek bir sürüme yükseltmeleri önerilir. Bu güncelleme, kimlik doğrulamayı atlama sorununu gidererek yetkisiz kullanıcıların sistemlere erişememesini sağlar.
Benzer şekilde Apache Traffic Control’deki CVE-2024-45387, SQL enjeksiyon güvenlik açığına karşı koruma sağlamak için kullanıcıların sistemlerini 8.0.1’in ötesindeki sürümlere güncellemelerini gerektirir. Bu yamanın uygulanmaması, kullanıcıları veri manipülasyonuna veya sızıntıya maruz bırakabilir.
Ancak Apache MINA’daki CVE-2024-52046 ek dikkat gerektirir. Yöneticilerin, en son sürümlere (2.0.27, 2.1.10 veya 2.24) yükseltmeye ek olarak, sınırsız seri durumdan çıkarmayla ilişkili riskleri azaltmak için daha ileri adımlar atması gerekir. Özellikle Apache MINA’daki ObjectSerializationDecoder bileşeninin, açıkça izin verilmediği sürece tüm sınıfları reddedecek şekilde yapılandırılması gerekir. Bu üçünden birini kullanarak yapılabilir Seri durumdan çıkarma için kabul edilebilir sınıfları tanımlamaya yönelik yeni yöntemler.
Sınıfın seri durumdan çıkarılmasını kısıtlamanın üç yöntemi şunlardır:
- kabul et(ClassNameMatcher classNameMatcher): Sağlanan eşleştiriciyle eşleşen sınıf adlarına izin verir.
- kabul et(Desen deseni): Java düzenli ifade modeliyle eşleşen sınıf adlarını kabul eder.
- kabul et(Dize… desenler): Seri durumdan çıkarma sırasında sınıf adları için joker karakter desenlerini kabul eder.
Varsayılan olarak Apache MINA’nın seri durumdan çıkarma işlemi, gelen tüm sınıfları reddeder, ancak yöneticilerin güvenliği sağlamak için istisnaları aktif olarak yapılandırması gerekir. Ayrıca Apache MINA’nın FtpServer, SSHd ve Vysper gibi belirli alt projelerinin bu güvenlik açığından etkilenmediğini unutmamak önemlidir.
Uzman Görüşleri ve Kullanıcı Rehberliği
Apache MINA’nın kullanıcısı ve katkıda bulunanlarından Emmanuel Lécharny, Apache MINA’nın oluşturduğu riskler hakkında daha fazla bilgi verdi. CVE-2024-52046. Sınırsız seri kaldırmaya dayanan MINA uygulamalarının, güvenlik açığından yararlanılması durumunda sistemleri RCE saldırılarına maruz bırakabileceğini vurguladı. Lécharny’nin gönderisi, Apache MINA’nın en son sürümlerine yükseltmenin ve sistemleri bu kritik kusurdan korumak için gerekli güvenlik önlemlerini yapılandırmanın önemini vurguladı.
Daha Geniş Bağlam ve Önceki Güvenlik Açıkları
Bu Apache güvenlik açıkları Apache ekosistemindeki münferit olaylar değildir. 2024’ün başlarında The Cyber Express, açık kaynaklı bir kurumsal kaynak planlama (ERP) sistemi olan Apache OFBiz’i etkileyen bir güvenlik açığı olan CVE-2024-38856 ile benzer bir sorun bildirmişti.
Bu kusur, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından Bilinen Suistimal Edilen Güvenlik Açıkları (KEV) kataloğunun bir parçası olarak tespit edildi. CVE-2024-38856’nın, saldırganların kimlik doğrulaması olmadan uzaktan kod yürütmesine izin vermesi nedeniyle çevrimiçi tehditler oluşturduğu ve 9,8 CVSS puanıyla kritik olarak sınıflandırıldığı kaydedildi. Apache OFBiz kullanan kuruluşların, güvenlik açığını gidermek için 18.12.15 sürümüne yükseltmeleri istendi.
İlgili