zammad'deki sıfır-gün açıkları divd'nin ağını ele geçirdi

arkadaşlar, hoş olmayan bir haber var. hollanda’daki divd (dutch institute for vulnerability disclosure) kendi ağına sızıldığını açıkladı ve suçlu zammad ticketing sistemi’ndeki iki tane sıfır-gün açığı. yani bu açıklar yamadan önce sömürülmüş, bir de yapay zeka yardımıyla saldırı düzenlemişler. işte o kadar ciddi.

ne oldu yahu?

divd, siber güvenlik alanında oldukça prestijli bir kuruluş. açık kaynakların zafiyetlerini bulup raporlayan tipler işte. ama işte kendi ağlarına sızdırıldılar - talihsizlik bu. zammad denen açık kaynak ticket yönetim sistemi’nde iki tane sıfır-gün açığı zinciri kullanılarak bu iş başarılmış.

spoiler: saldırganlar bu açıkları birbirinin ardı sıra kullanarak sistem içinde ilerlemişler. ilk açık sistem içine girmeyi sağlamış, ikinci açık ise daha derin erişim vermiş. sonra da yapay zeka yardımıyla ağda dolaşmışlar. yani klasik bir lateral movement operasyonu ama sıfır-gün’lerle yapılmış.

zammad nedir bu arada?

zammad, müşteri destek ve ticket yönetimi için kullanılan açık kaynak bir yazılım. birçok şirket bunu kendi sunucularında çalıştırıyor. helpdesk, support ticketleri vs. yönetmek için. eğer sizin şirketinizde zammad kurulu varsa, dikkat edin.

etkilenen sistemler

yapmanız gerekenler (acil)

şimdi ne yapacaksınız, hadi bakalım:

1. Zammad’ınız varsa hemen kontrol edin:

# Zammad versiyonunuzu kontrol edin
zammad --version

# Eğer eski bir versiyon çalışıyorsa, yedek alın
# Sonra güncelleme planı yapın

2. Logları gözden geçirin:

# Zammad'ın log dosyalarını kontrol edin
# Şüpheli aktiviteleri arayın
tail -f /opt/zammad/log/production.log | grep -i "error\|warning\|unauthorized"

# Web sunucusu loglarını kontrol edin
grep "zammad" /var/log/apache2/access.log | grep -i "post\|put\|delete"

3. Ağ trafiğini kontrol edin:

# Zammad sunucusundan şüpheli bağlantıları arayın
netstat -an | grep ESTABLISHED
ss -tpan | grep zammad

4. Yedek alın (eğer almadıysanız):

# Zammad veritabanını yedekleyin
mysqldump -u root -p zammad > zammad_backup_$(date +%Y%m%d).sql

# Dosyaları yedekleyin
tar -czf zammad_files_$(date +%Y%m%d).tar.gz /opt/zammad

geçici çözümler (yamayı beklerken)

• ağ seviyesinde zammad’inize sadece güvenilir IP’lerden erişime izin verin
• firewall kurallarıyla dış erişimi kısıtlayın
• zammad’in ön tarafına WAF (web application firewall) koyun
• düzenli log analizi yapın, şüpheli aktiviteleri izleyin
• eğer cloud kullanıyorsanız, zammad’a hemen sorgulatın durumu

cisa ve divd ne diyor?

divd bu açıkları raporladı ve zammad ekibi üzerinde çalışıyor. ama sıfır-gün olduğu için yama çıkana kadar risk var. eğer zammad’iniz internet’e açıksa ve eski versiyon çalışıyorsa, acil acil harekete geçin.

edit: önemli notlar

• bu açıklar zincir halinde çalışıyor, yani biri diğerini tetikliyor
• yapay zeka kullanılarak saldırı yapılmış, demek ki otomatize bir saldırı söz konusu
• divd gibi kuruluşların dahi sızdırılması, açığın ne kadar ciddi olduğunu gösteriyor
• test ortamında önce deneyin, sonra sıkıntı çıkarsa bana sormayın

kaynaklar

• BleepingComputer - DIVD says Zammad zero-days enabled AI-driven network breach
• DIVD Resmi Raporu
• Zammad Güvenlik Danışmanları

Bu içerik yapay zeka tarafından oluşturulmuştur.