Bir Acigin Dogru Anlatimi ve Sonuclari

Bir guvenlik acigi bulundugunda sonucun her zaman o acigi kapatmak olmadigini cok farkli orneklerle yasadim ve gordum. Acigin onceligi, dogru ifadesi, arkasindaki riskin gerceklenmesi ve hatta ureticinin yaklasimi gibi harici konular sureci ciddi bicimde etkiler. Dahili olarak ise sistemin onemi ve gorevi, uzerindeki yazilim/donanimlarin uyumu ve personel yeterliligi gibi sebepler one cikar.

Dun "Full Disclosure" listesine "Kingcope" tarafindan atilan bir e-posta ile Solaris'e ait TCP/IP surum 6'dan kaynaklanan bir acigin oldugunu ogrendik. "Kingcope" tanidik bir isim, Solaris telnet atlatma acigini bulan kisidir. Acik bir duyuru ile degil dogrudan exploit ile atildi, haliyle exploit'in icerigi incelenmesine bagli olarak duyuruya donusturuldu.

Security Tracker duyurusunda "Solaris Bug in Processing IPv6 Packets Lets Remote Users Execute Arbitrary Code", Secunia duyurusunda ise "Sun Solaris IPv6 Denial of Service Vulnerability" ismiyle yerini aldi. Birine gore kabuk kodu calismasina izin veriyor, digerine gore ise servis engelleme saldirisi. Donelim exploit kaynak koduna, gorunen o ki servis engelleme kesin ancak kabuk kodu calistirma ihtimali de mevcut gorunuyor. Security Tracker'da emin olamamis, acigin etkilerinde kod calistirma yerine servis engelleme secilmis durumda.

Acigin tipine bagli olarak sadece zorunlu olduklari yamalari yukleyen sistem yoneticileri icin komut calistirma ve servis engelleme arasinda daglar kadar fark var. Guvenlik denetimlerimde raporladigim komut calistirma aciklarinin bile komut calistirilmadikca kapatilmadigini goruyorum, hatta calistirilmis olmasinin bile duruma yardimci olmadigi cok anim var.

Kisaca servis engelleme turundeki aciklarin yamasini yuklemek icin alinan risk mantikli gelmiyor; kabuk kodu calistirma ise cok daha tehlikeli gorunuyor ve sistemi guvenli hale getirmek icin o yama yukleniyor.

Bu aciga ozel dusununce, guvenlik denetiminde kullandiginiz baglanti veya sonucunda sisteme girmeniz o kadar farkli etkilere sahip ki, sizinle yamayi yukleme konusunda pazarlik eden yoneticiler hemen gozumun onune geliyor. Denetim surecinde bile "Asla ve Katta Servis Engelleme Yapilmayacaktir" denilip sozlesmeye de eklenince siz dusunun hangi ikilemde kaliniyor.

Servis engelleme konusuna ayrica egilmek isterim, mumkunse baska bir yazi da bunun icin yazacagim.

Simdi bu acik onemli bir acikmidir ? Degildir, hergun benzer bir suru acik yayinlaniyor, ama bu acidan bakinca turnasol etkisi yaratti benim icin. Sadece saptanmasi (malum denenmesi asamasinda bile sistem cakilabilir) bile dert iken ustune komut calistirmadikca kapatilmasinin tercih edilmeyecegi gozumun onune geliyor.

Security Tracker - Solaris Bug in Processing IPv6 Packets Lets Remote Users Execute Arbitrary Code
http://www.securitytracker.com/alerts/2009/Jan/1021635.html

Secunia - Sun Solaris IPv6 Denial of Service Vulnerability
http://secunia.com/Advisories/33605/

Orjinal Gonderi
http://lists.grok.org.uk/pipermail/full-disclosure/2009-January/067709.html

Exploit
http://packetstormsecurity.org/0901-exploits/SunOSipv6.c

Fatih Ozavci
IT Security Consultant

posted by Fatih Ozavci @ 7:56 PM Yorumlar: 0