CentOS Web Panel Zafiyetler

CentOS Web Panel Change Root Password + RCE Vulnerabilities

CentOS Web Panel Change Root Password + RCE Vulnerabilities

Şüpheli URL’lere tıklarsak ne olur? XSS veya CSRF açıkları gerçekten basit güvenlik açıkları mıdır, en fazla ne kadar tehlikeli olabilirler?
İnternet üzerinde yaklaşık 10.000’den fazla sunucuda kullanılan CentOS Web Panel (CWP) ürününde, CVE-XXX-XXX-XXX kimlik numaralı bir güvenlik açığı keşfedildi. InfinitumIT güvenlik araştırmacılarının keşfettiği bu güvenlik açığı, sunucuların root şifresinin değiştirilmesine ve sunucunun arkaplanda komut yürütmesine sebebiyet veriyor.

Hacker’ın bu güvenlik açığıyla sunucunun root şifresini nasıl değiştirebileceğini inceleyelim.

Sunucunun Root Şifresinin Değiştirilmesi

Hacker bu güvenlik açığıyla hem sunucunun root şifresini hem de CentOS Web Panel’in şifresini değiştirebilir. Bunu iki yolla gerçekleştirebilir.

  1. CWP Yöneticisi Hacker’ın Sitesine Tıklayacak (CSRF)

Hacker bir internet sitesi oluşturacak, örneğin hackerswebsite.com. Daha sonra oluşturduğu bu internet sitesinin kaynak koduna aşağıdaki kodları yerleştirecek ve CentOS Web Panel’de oturum açmış root kullanıcısı, hacker’ın sitesine (hackerswebsite.com) tıkladığında sunucunun root şifresi değişecek.

Mavi bölüm: CentOS Web Panel kurulu olan hedef sunucunun adresi.

Kırmızı bölüm: Hacker tarafından belirlenen yeni şifre.

  1. CWP Yöneticisi Kendi İnternet Sitesine Tıklayacak (XSS)

Hacker, kendi sitesinde bir JavaScript dosyası oluşturacak ve yukarıda verilen kodları bu dosyaya kaydedecek. (hackerswebsite.com/sifre.js)

Daha sonra CWP’de oturum açmış root kullanıcısı kendi sitesine giriş yapacak ve sunucusunun arayüzünde bulunan bir XSS açığıyla CSRF açığını exploit etmiş olacak. CWP yöneticisinin tıklaması gereken adres:

Böylelikle hedef sunucunun root şifresini değiştirmiş olduk. Bundan sonra hedef sunucuya Putty gibi yazılımlarla bağlanıp SSH erişimi elde edebiliriz. Veya, CWP’de oturum açıp arayüz üzerinden sunucuda komut çalıştırabiliriz.

Şimdi bu güvenlik açığından farklı, bir “uzaktan komut çalıştırma” açığına değinmek istiyorum. Aslında bu açığın da exploit edilişi aynı fakat bu sefer CWP yöneticisinin root şifresi değişmeyecek, sadece arkaplanda bizim belirlediğimiz komut çalışacak. Hacker bu güvenlik açığıyla daha anonim bir strateji izleyebilir.

Uzaktan Kod Çalıştırma (RCE)

Hacker bu güvenlik açığıyla sunucuda komut çalıştırabilir. Bunu iki yolla gerçekleştirebilir.

  1. CWP Yöneticisi Hacker’ın Sitesine Tıklayacak (CSRF)

Bir önceki anlatılanla mantık aynı fakat bu sefer kullanacağımız kodlar farklı. Hacker bir internet sitesi oluşturacak, örneğin hackerswebsite.com. Daha sonra oluşturduğu bu internet sitesinin kaynak koduna aşağıdaki kodları yerleştirecek ve CentOS Web Panel’de oturum açmış root kullanıcısı, hacker’ın sitesine (hackerswebsite.com) tıkladığında sunucuda komut çalıştırılacak.

Mavi bölüm: CentOS Web Panel kurulu olan hedef sunucunun adresi.

Kırmızı bölüm: Sunucuda çalıştırılacak komut.

  1. CWP Yöneticisi Kendi İnternet Sitesine Tıklayacak (XSS)

Yine ilk anlatılanla aynı mantıkta. Hacker, kendi sitesinde bir JavaScript dosyası oluşturacak ve yukarıda verilen kodları bu dosyaya kaydedecek. (hackerswebsite.com/komut.js)

Daha sonra CWP’de oturum açmış root kullanıcısı kendi sitesine giriş yapacak ve sunucusunun arayüzünde bulunan bir XSS açığıyla CSRF açığını exploit etmiş olacak. CWP yöneticisinin tıklaması gereken adres:

Böylelikle güvenli olmayan bir bağlantıya (kendi sitemiz de olsa) tıkladığımızda sunucumuzun bile hack’lenebileceğini öğrenmiş olduk. Aynı zamanda XSS ve CSRF güvenlik açıklarının basite alınmaması gerektiğini, her birinin ciddi sonuçlara sebebiyet verebileceğini de doğruladık.

InfinitumIT

// Birlikte daha güvenli günlere…