Baron Samedit, neredeyse her Linux ve Unix sisteminde bulunan sudo aracında keşfedilen ve CVE-2021-3156 koduyla kayıtlı bir yerel yetki yükseltme zafiyetidir. Ocak 2021’de Qualys tarafından açıklandığında dikkat çeken yanı, hatanın on yıldan uzun süredir kod tabanında sessizce beklemesi ve varsayılan yapılandırmalarda sömürülebilir olmasıydı.

Baron Samedit, sudo’nun kaçış karakterlerini işlerken yaptığı bir hesaplama hatası nedeniyle yığın belleğini taşıran ve düşük yetkili kullanıcıya tam root erişimi kazandıran bir bellek güvenliği kusurudur.

Hata Nereden Kaynaklanıyor?

sudo, bir komut satırındaki ters bölü işaretlerini kaçış karakteri olarak yorumlar. Belirli bir kip olan sudoedit çağrıldığında, argümanlardaki bu kaçış karakterleri beklenenden farklı işlenir ve sonda kalan bir ters bölü, ayrıştırıcının bellek sınırlarının dışına yazmasına yol açar. Bu, klasik bir yığın tabanlı arabellek taşmasıdır (heap buffer overflow). Saldırgan, taşan veriyi dikkatle biçimlendirerek sudo’nun bellek yapılarını değiştirir ve programın root yetkisiyle kendi kodunu çalıştırmasını sağlar.

Neden Bu Kadar Tehlikeli?

Zafiyetin ciddiyeti, ön koşulunun düşük olmasından gelir. Saldırganın sisteme herhangi bir yetkisiz kullanıcı olarak, hatta sudoers dosyasında hiç tanımlı olmadan erişimi yeterlidir. Bu nedenle Baron Samedit, çalınmış bir sıradan hesabı tam sistem kontrolüne çeviren ideal bir yetki yükseltme adımıdır. Bir web uygulamasından elde edilen sınırlı bir kabuk, bu zafiyetle birlikte sunucunun tamamının ele geçirilmesine dönüşebilir.

Tespit ve Kapatma

Çözüm nettir: sudo’yu 1.9.5p2 veya üzeri sürüme güncellemek. Bir sistemin etkilenip etkilenmediği, sudoedit -s ile başlayan ve tek bir ters bölü içeren bir komut denenerek anlaşılabilir; yamalı sürümler kullanım hatası verirken zafiyetli sürümler bellek hatası üretir. Bu tür temel bileşenlerin zamanında kapatılması, kurumsal bir yama yönetimi disiplininin en somut faydalarından biridir.

Bir istismarın izini sürmek için sistemdeki denetim kayıtları belirleyicidir. Uygun yapılandırılmış Linux denetim günlükleri, sudoedit çağrılarını ve ardından oluşan anormal süreç oluşumlarını kaydeder; bu izler bir saldırı sonrası inceleme için değerli kanıt oluşturur.

Kurumsal Bakış

Baron Samedit gibi zafiyetler, kimin neyi ne zaman root olarak çalıştırabildiğini denetleyen bir ayrıcalıklı erişim yönetimi yaklaşımının neden sadece yamaya güvenmekten daha sağlam olduğunu gösterir. Yine de sıfırıncı gün bir sömürü olasılığına karşı, sunucularınızda şüpheli bir yetki yükseltme belirtisi gördüğünüzde devreye girecek bir olay inceleme ve olay müdahalesi planı, hasarı erken evrede durdurmanın anahtarıdır.