Yarış durumu, birden çok işlemin aynı kaynağa eşzamanlı erişmesiyle ortaya çıkan bir zamanlama zafiyetidir. Uygulama, işlemlerin belirli bir sırayla çalışacağını varsayar; ancak eşzamanlı erişimde bu sıra garanti edilmez. İki işlem, bir kontrol ile eylem arasındaki kısa boşlukta çakıştığında, beklenmedik ve tutarsız bir sonuç oluşabilir. Saldırgan bu boşluğu bilinçli olarak tetikleyerek uygulamayı kötüye kullanabilir. Bu nedenle zafiyet, işlemlerin zamanlamasındaki bir eşgüdüm eksikliğinden doğar.

Zafiyetin klasik biçimi, kontrol ile kullanım arasındaki zaman farkına dayanır. Uygulama önce bir koşulu kontrol eder, ardından bu koşula dayanarak bir eylem gerçekleştirir. İki adım arasında geçen kısa sürede koşul değişirse, eylem artık geçersiz bir varsayıma dayanır. Saldırgan, tam bu boşlukta müdahale ederek kontrolü atlatabilir. Bu kısa pencere, saldırının gerçekleştiği kritik andır.

Yarış Durumu Nedir?

Yarış durumu, eşzamanlı işlemlerin beklenmedik sırada çalışmasıyla, özellikle kontrol ile eylem arasındaki boşlukta ortaya çıkan ve kötüye kullanılabilen bir zafiyettir.

Zafiyetin en bilinen sömürü biçimi, bir işlemin sınırın ötesinde tekrarlanmasıdır. Saldırgan, aynı isteği çok hızlı ve eşzamanlı gönderek uygulamayı sınır kontrolünü atlatmaya zorlar. Örneğin bir bakiye kontrolü, eşzamanlı isteklerle atlatılarak birden çok kez harcama yapılabilir. Uygulama, her isteği ayrı ayrı değerlendirdiği için toplam sınırı gözden kaçırır. Bu senaryo, finansal işlevlerde ciddi sonuçlar doğurabilir.

Nasıl Sömürülür?

Saldırgan, tipik olarak aynı işlemi eşzamanlı ve çok sayıda tetikleyerek yarış penceresini kullanır. Modern araçlar, çok sayıda isteği neredeyse aynı anda gönderebilir. Bu eşzamanlılık, kontrol ile eylem arasındaki boşluğu genişleterek çakışma olasılığını artırır. Saldırgan, isteklerden birkaçının sınır kontrolünü atlatmasını hedefler. Bu yöntem, tek istekle mümkün olmayan bir kötüye kullanımı olası kılar.

Bu tür saldırılar, özellikle değer sınırı olan işlevlerde tehlikelidir. Hız sınırlama bu eşzamanlı istek yoğunluğunu bir ölçüde sınırlayabilse de tek başına yeterli bir savunma değildir. Kupon kullanımı, çekim işlemleri ve stok yönetimi gibi işlevler tipik hedeflerdir. Bir kuponun tek kullanımlık olması gereken bir mantık, eşzamanlı isteklerle birden çok kez kullanılabilir. Bu, hem finansal hem de operasyonel kayıplara yol açabilir. Bu nedenle sınır kontrolü olan tüm işlevler bu zafiyete karşı değerlendirilmelidir.

• Eşzamanlı isteklerle sınır kontrollerinin atlatılması
• Tek kullanımlık işlemlerin birden çok kez gerçekleştirilmesi
• Kontrol ile eylem arasındaki boşluğun kötüye kullanımı
• Finansal ve stok işlevlerinde tutarsız sonuçlar
• Yüksek hızlı araçlarla yarış penceresinin genişletilmesi

Nasıl Önlenir?

En temel önlem, kritik işlemlerin atomik biçimde gerçekleştirilmesidir. Kontrol ve eylem, bölünemez tek bir işlem olarak yürütüldüğünde araya girme olanağı ortadan kalkar. Veri tabanı düzeyinde kilitler ve atomik işlemler bu bütünlüğü sağlar. Böylece iki işlem aynı kaynağa çakışacak biçimde erişemez. Atomik tasarım, yarış durumunun kaynağını doğrudan ortadan kaldırır.

İkinci önlem, uygun kilitleme mekanizmalarının kullanılmasıdır. Bir kaynağa erişen işlem, işini bitirene kadar o kaynağı kilitleyebilir. Bu kilit, diğer işlemlerin aynı anda müdahale etmesini engeller. Ancak kilitleme, dikkatli tasarlanmazsa performans sorunlarına yol açabilir. Bu nedenle kilitler, yalnızca gerçekten gerekli olan kritik bölümlerde kullanılmalıdır.

Üçüncü önlem, benzersizlik kısıtlarının veri düzeyinde uygulanmasıdır. Bir işlemin yalnızca bir kez gerçekleşmesi gerekiyorsa, bu kural veri tabanında bir kısıtla zorlanabilir. Böylece eşzamanlı istekler bile ikinci bir kaydı oluşturamaz. Bu yapısal önlem, uygulama mantığındaki olası boşlukları kapatır. Veri düzeyindeki kısıtlar, en güvenilir savunma katmanlarından biridir.

İş Mantığıyla İlişkisi

Yarış durumu, çoğu zaman iş mantığı zafiyetleriyle iç içe geçer. Bir iş kuralının sınırı, eşzamanlı isteklerle atlatıldığında hem bir zamanlama hem de bir iş mantığı sorunu ortaya çıkar. İş mantığı zafiyetleri bu bağlamda yarış durumuyla yakından ilişkilidir. İki alanın birlikte değerlendirilmesi, bu tür kötüye kullanımların daha bütünsel biçimde ele alınmasını sağlar. Sınır kontrolü olan her iş kuralı, eşzamanlılık açısından da düşünülmelidir.

Bu ilişki, savunmanın da her iki açıdan tasarlanmasını gerektirir. İş kuralının doğru tanımlanması yeterli değildir; bu kuralın eşzamanlı erişimde de korunması gerekir. Atomik işlemler ve kilitleme, iş kurallarının eşzamanlılık altında da bütünlüğünü korur. Böylece kural, tek istekle olduğu gibi eşzamanlı isteklerle de atlatılamaz. Bu bütünsel tasarım, hem mantık hem zamanlama boyutunu kapsar.

Tespit Zorluğu

Yarış durumları, tespiti en zor zafiyetlerden biridir çünkü belirli zamanlama koşullarında ortaya çıkar. Standart işlevsel testler, işlemleri tek tek çalıştırdığı için bu zafiyetleri çoğu zaman kaçırır. Zafiyet, ancak eşzamanlı ve yüksek hızlı istekler gönderildiğinde görünür olur. Bu nedenle özel test teknikleri ve araçları gerektirir. Web uygulama sızma testi bu tür eşzamanlılık senaryolarını değerlendirebilir.

Zafiyetin tutarsız biçimde ortaya çıkması da tespiti zorlaştırır. Bir yarış durumu, her denemede değil yalnızca belirli koşullar çakıştığında tetiklenebilir. Bu tutarsızlık, hem tespiti hem de yeniden üretmeyi güçleştirir. Bu nedenle test, çok sayıda tekrarlı ve eşzamanlı deneme gerektirir. Sabırlı ve sistematik bir yaklaşım, bu zor yakalanan zafiyetleri ortaya çıkarabilir.

Dağıtık Sistemlerde

Dağıtık sistemler, yarış durumlarını daha karmaşık hâle getirir. Birden çok sunucunun aynı kaynağa eriştiği ortamlarda, tek sunucudaki kilitler yeterli olmaz. Bu durumda, tüm sunucular arasında eşgüdüm sağlayan dağıtık kilitleme mekanizmaları gerekir. Bu mekanizmalar, doğru tasarlanmazsa hem performans sorunlarına hem de yeni zafiyetlere yol açabilir. Bu nedenle dağıtık ortamlarda eşzamanlılık, özel bir tasarım dikkati gerektirir.

Bu karmaşıklık, dağıtık sistemlerde veri tutarlılığı stratejilerinin önemini artırır. Kaynağa erişim, tutarlılığı garanti eden yapısal mekanizmalarla korunmalıdır. Veri düzeyindeki benzersizlik kısıtları ve atomik işlemler, bu ortamlarda özellikle değerlidir. Bu yapısal önlemler, uygulama katmanındaki eşgüdüm eksikliklerini telafi eder. Dağıtık sistemlerde savunma, hem uygulama hem veri katmanında tasarlanmalıdır.

Privia Security olarak eşzamanlılık ve zamanlama zafiyetlerinin tespitini düzenli zafiyet tarama ve sızma testi kapsamında değerlendiriyoruz.