Güvensiz seri hale getirme, güvenilmeyen serileştirilmiş verinin uygulama tarafından güvensiz biçimde işlenmesinden doğan bir zafiyettir. Serileştirme, bir nesnenin durumunu saklanabilir ya da iletilebilir bir biçime dönüştürme işlemidir; tersine çevirme ise bu veriden nesneyi yeniden oluşturur. Uygulama, dışarıdan gelen serileştirilmiş veriyi doğrulamadan nesneye dönüştürdüğünde risk doğar. Saldırgan, özel hazırlanmış veriyle beklenmedik nesneler oluşturarak uygulamayı kötüye kullanabilir. Bu manipülasyon, en ağır durumda sunucuda kod çalıştırmaya kadar varabilir.

Zafiyetin ciddiyeti, saldırganın nesne oluşturma sürecine müdahale edebilmesinden gelir. Serileştirilmiş veri, yalnızca veri değil aynı zamanda nesnenin nasıl yeniden oluşturulacağına dair talimatlar içerir. Saldırgan bu talimatları manipüle ederek, uygulamanın beklemediği nesneleri ve davranışları tetikleyebilir. Bu yetenek, veri değiştirmekten kod çalıştırmaya kadar geniş bir etki yelpazesi doğurur. Bu nedenle zafiyet, en kritik web risklerinden biri olarak değerlendirilir.

Güvensiz Seri Hale Getirme Nedir?

Güvensiz seri hale getirme, güvenilmeyen serileştirilmiş verinin doğrulanmadan nesneye dönüştürülmesiyle kod çalıştırma ve diğer saldırılara yol açan bir zafiyettir.

Zafiyetin kökeninde, serileştirilmiş verinin güvenilir kabul edilmesi yatar. Uygulama, dışarıdan gelen bu veriyi güvenli bir kaynaktan gelmiş gibi işleyebilir. Oysa saldırgan tarafından üretilmiş veri, kötü niyetli talimatlar içerebilir. Bu nedenle savunmanın temeli, hiçbir dış serileştirilmiş veriye güvenmemektir. Güvenilmeyen verinin doğrulanmadan nesneye dönüştürülmemesi, savunmanın çekirdek ilkesidir.

Nasıl Kod Çalıştırmaya Yol Açar?

Kod çalıştırma, genellikle nesne oluşturma sürecinde tetiklenen zincirleme çağrılarla gerçekleşir. Bazı nesneler, oluşturulduklarında ya da işlendiklerinde belirli işlevleri otomatik çağırır. Saldırgan, bu otomatik çağrıları bir araya getirerek istediği eylemi tetikleyen bir zincir oluşturabilir. Bu zincir, sonunda sunucuda komut çalıştırmaya varabilir. Komut çalıştırma bu yolla dolaylı biçimde gerçekleşebilir.

Bu saldırı zincirleri, çoğu zaman uygulamanın kullandığı kütüphanelerdeki nesnelerden yararlanır. Yaygın kütüphanelerde bulunan belirli nesneler, bu tür zincirler için uygun yapı taşları sağlar. Saldırgan, bu bilinen yapı taşlarını kullanarak saldırısını oluşturur. Bu nedenle kullanılan kütüphanelerin güncelliği ve bilinen riskleri önemlidir. Yazılım bileşim analizi bu riskli bileşenlerin tespitine yardımcı olur.

• Güvenilmeyen serileştirilmiş verinin doğrulanmadan işlenmesi
• Nesne oluşturma sürecinde otomatik çağrıların tetiklenmesi
• Zincirleme çağrılarla sunucuda kod çalıştırma
• Kütüphanelerdeki bilinen nesnelerin yapı taşı olarak kullanımı
• Veri manipülasyonuyla yetki ve durum değiştirme

Nasıl Önlenir?

En temel önlem, güvenilmeyen kaynaklardan gelen verinin nesneye dönüştürülmemesidir. Mümkün olduğunda, dış veri için karmaşık serileştirme yerine basit ve güvenli veri biçimleri tercih edilmelidir. Yalnızca veri taşıyan biçimler, nesne oluşturma talimatları içermediği için bu riski taşımaz. Bu tercih, zafiyetin kaynağını doğrudan ortadan kaldırır. Basit veri biçimleri, hem güvenli hem de yönetilebilir bir alternatif sunar.

İkinci önlem, serileştirilmiş verinin bütünlüğünün doğrulanmasıdır. Veri, güvenilir bir imzayla korunarak yalnızca değiştirilmediği doğrulandığında işlenebilir. Bu imza, saldırganın veriyi manipüle etmesini engeller. Ancak bu yöntem, verinin gizliliğini değil yalnızca bütünlüğünü sağlar. Bütünlük doğrulaması, verinin güvenilir bir kaynaktan geldiğini teyit eden önemli bir katmandır.

Üçüncü önlem, oluşturulabilecek nesne türlerinin sınırlanmasıdır. Uygulama, yalnızca beklenen ve güvenli nesne türlerine izin verecek biçimde yapılandırılabilir. Bu sınırlama, saldırganın kötü niyetli nesne türlerini oluşturmasını engeller. Beyaz liste temelli bu yaklaşım, saldırı zincirlerinin yapı taşlarını ortadan kaldırır. İzin verilen türlerin kesin biçimde tanımlanması, güvenli tarafta kalmayı sağlar.

Diğer Etki Biçimleri

Bu zafiyet, yalnızca kod çalıştırmayla sınırlı değildir; başka etki biçimleri de doğurabilir. Saldırgan, serileştirilmiş veriyi manipüle ederek uygulamanın durum bilgisini değiştirebilir. Örneğin bir kullanıcının yetki bilgisi serileştirilmiş veride tutuluyorsa, bu bilgi kurcalanarak yetki yükseltilebilir. Yetki yükseltme bu yolla dolaylı biçimde gerçekleşebilir. Bu nedenle zafiyet, kod çalıştırma olmasa bile ciddi sonuçlar doğurabilir.

Bir diğer etki biçimi, hizmet dışı bırakmadır. Özenle hazırlanmış serileştirilmiş veri, tersine çevirme sırasında aşırı kaynak tüketimine yol açabilir. Bu durum, uygulamanın yanıt veremez hâle gelmesine neden olur. Böylece zafiyet, veri sızdırmasa da hizmetin kesintiye uğramasına yol açabilir. Bu nedenle savunma, yalnızca kod çalıştırmaya değil kaynak tüketimine karşı da tasarlanmalıdır.

Veri kurcalama, en sık gözden kaçan etki biçimlerinden biridir. Uygulama, serileştirilmiş veriyi güvenilir kabul ederek içindeki değerlere güvenebilir. Saldırgan bu değerleri değiştirerek fiyat, miktar ya da yetki gibi kritik bilgileri manipüle edebilir. Bu manipülasyon, iş mantığı zafiyetleriyle birleşerek etkisini artırabilir. Bu nedenle serileştirilmiş verideki hiçbir değer güvenilir sayılmamalıdır.

Bileşen Güvenliğiyle İlişkisi

Bu zafiyet, kullanılan üçüncü taraf bileşenlerin güvenliğiyle yakından ilişkilidir. Saldırı zincirleri, çoğu zaman yaygın kütüphanelerdeki belirli nesnelerden yararlanır. Bu nedenle bir uygulamanın bu zafiyete karşı durumu, kullandığı bileşenlere bağlıdır. Yazılım malzeme listesi, hangi bileşenlerin kullanıldığının görünür olmasını sağlar. Bu görünürlük, riskli bileşenlerin tespit edilmesine yardımcı olur.

Bileşenlerin güncel tutulması, bu zafiyete karşı önemli bir savunmadır. Bilinen saldırı zincirleri, çoğu zaman güncellemelerle kapatılır. Eski sürümler ise bu bilinen zincirlere açık kalabilir. Bu nedenle bağımlılıkların düzenli güncellenmesi, saldırı yüzeyini daraltır. Güncel bileşenler, hem bu zafiyet hem de diğer bilinen riskler açısından koruma sağlar.

Bileşen envanterinin sürekli izlenmesi de gereklidir. Yeni yayımlanan zafiyetler, mevcut bir bileşeni aniden riskli hâle getirebilir. Bu nedenle kullanılan bileşenler, bilinen zafiyetler açısından sürekli izlenmelidir. Bu izleme, ortaya çıkan riskleri erken fark etmeyi sağlar. Sürekli bir yaklaşım, savunmanın zamanla zayıflamasını önler.

Güvenli Tasarım İlkeleri

Bu zafiyetin kalıcı çözümü, güvensiz serileştirmeye hiç ihtiyaç duymayan bir tasarımdır. Uygulamalar, dış veri alışverişi için karmaşık nesne serileştirmesi yerine basit veri biçimleri kullanmalıdır. Bu tasarım, zafiyetin ortaya çıkma olasılığını baştan ortadan kaldırır. Güvenli tasarım, tekil önlemlerden daha kalıcı bir koruma sağlar. Bu ilke, tüm veri alışverişi mekanizmalarının temel kuralı olmalıdır.

Bu ilke, güvenli geliştirme kültürüyle desteklenmelidir. Geliştiriciler, serileştirmenin risklerini bilmeli ve güvenli alternatifleri tercih etmelidir. Güvenli kodlama standartları, bu bilinci süreçlere gömer. Böylece güvenlik, tekil çabalar yerine kurumsal bir alışkanlığa dönüşür. Bu bütünsel yaklaşım, zafiyetin farklı biçimlerde tekrar ortaya çıkmasını azaltır.

Test ve Doğrulama

Zafiyetin tespiti, serileştirilmiş veri kabul eden tüm noktaların incelenmesini gerektirir. Oturum bilgisi, önbellek verisi ve veri alışverişi noktaları tipik risk alanlarıdır. Bu noktalar, hem manipüle edilmiş veri hem de bilinen saldırı zincirleriyle değerlendirilir. Kod incelemesi de güvensiz tersine çevirme kalıplarını erken yakalar. İki yaklaşım birlikte, zafiyetin hem çalışma zamanında hem kodda tespit edilmesini sağlar.

Privia Security olarak serileştirme zafiyetlerinin ve sunucu tarafı kod çalıştırma risklerinin tespitini düzenli zafiyet tarama kapsamında değerlendiriyoruz.