Güvenlik Araştırmacısı, Apple, PayPal ve Microsoft Sistemlerinde Kod Çalıştırmanın Bir Yolunu Buldu
Saldırı inanılmaz derecede basit ama son derece etkili
Güvenlik araştırmacısı Alex Birsan, Apple, Microsoft, PayPal ve 30’dan fazla başka şirketin sahip olduğu sunucularda kod çalıştırmasına izin veren bir güvenlik açığı buldu. Saldırıyı gerçekleştirmek son derece basit. Büyük yazılım geliştiricilerinin acilen kendilerini nasıl koruyacaklarını bulmaları gerekiyor.
Güvenlik açığı, nispeten basit bir numaradan yararlanılarak gerçekleştirilebiliyor. Saldırganlar, özel paketlerini halka açık olan paketler ile değiştirerek açıktan faydalanmakta. Şirketler programları geliştirirken, genellikle başkaları tarafından yazılan açık kaynak kodlarını kullanırlar, bu nedenle zaten çözülmüş bir sorunu çözmek için zaman ve kaynak harcamazlar.
Halka açık olan bu programlar, NodeJS için npm, Python için PyPi ve Ruby için RubyGems gibi depolarda mevcut. Birsan’ın bu depoların saldırıyı gerçekleştirmek için kullanılabileceğini bulduğunu belirtelim. Ancak, program geliştmek için izlenen yollar sadece bu üçü ile sınırlı değil.
Bu genel paketlere ek olarak, şirketler genellikle kendi özel paketlerini oluşturuyorlar. Ek olarak bu paketleri internete aktarmayıp bunun yerine kendi geliştiricileri arasında dağıtıyorlar. İşte tam da bu işlem Birsan’ın açığı bulduğu şey. Şirketler tarafından kullanılan özel paketlerin adlarını bulabilirse (çoğu durumda çok kolay olduğu ortaya çıktı), aynı adı taşıyan kendi kodunu halka açık depolardan birine ve şirketlerin sistemine yükleyebileceğini keşfetti. Otomatik sistemler de yüklenen bu sahte kodu kullanırlar. Sadece doğru paket yerine sahte paketi indirmek bir yana, aynı zamanda içindeki kodu da çalıştırırlar.
Bunu bir örnekle açıklamak için, bilgisayarınızda bir Word belgeniz olduğunu düşünelim. Ancak onu açtığınızda bilgisayarınız internette aynı isimli başka bir Word belgesi buluyor ve onu açıyor. Şimdi de Word belgesinin bilgisayarınızda otomatik olarak değişiklik yapabileceğini düşünün. Bu, oldukça tehlikeli bir durum oluşturabilir.
Şirketler yüksek miktarda hata bulma ödülü verdi
Görünüşe göre şirketler de sorunun ciddi olduğu konusunda hemfikir. Medium gönderisinde Birsan, “hata ödüllerinin çoğunun şirket politikasının izin verdiği maksimum tutarda ve bazen daha da yüksek olarak belirlendiğini” yazdı. Tanıdık olmayanlar için, hata ödülleri, şirketlerin ciddi hatalar bulan insanlara ödediği nakit ödüllerdir. Hata ne kadar büyük olursa, o kadar çok para öderler.
Birsan, açıkla ilgili temas kurduğu şirketlerin çoğunun, sistemlerini hızlı bir şekilde yamaladığını açıkladı. Böylece artık söz konusu açık için savunmasız kalmıyorlardı. Microsoft, sistem yöneticilerinin şirketlerini bu tür saldırılardan nasıl koruyabileceklerini açıklayan bir teknik inceleme bile hazırladı. Buna ek olarak, birinin bu devasa şirketlerin bu tür saldırılara karşı savunmasız olduğunu anlamasının bu kadar uzun sürmesi şaşırtıcı. Neyse ki bu, evinizdeki her cihazı hemen güncellemeniz gereken bir açık türü değil. Ancak, artık şirketlerinin genel kodu kullanma şeklini değiştirmek zorunda olan sistem yöneticileri için uzun bir hafta olacak gibi görünüyor.
Kaynak: theverge.com
Bunlar da ilginizi çekebilir
Apple Eski MacBook Pro Modelleri İçin Ücretsiz Pil Değişim Programı Başlattı
Dizüstü Bilgisayar Satışları %54 Arttı
Fortinet İçin Yama Vakti
