marklogic'te kritik açıklar var, delegeli yöneticiler root olabiliyor

arkadaşlar, progress software’in marklogic server’ında 31 tane açık bulunmuş, bunlardan 5 tanesi kritik seviyede. en kötüsü ise şu: sınırlı yetkilere sahip bir yönetici hesabı, tam admin kontrolü ele geçirebiliyor. yani kısacası, birine “sadece şu şeyleri yönet” diye yetki veriyorsunuz, adam tüm serveri kontrol edebiliyor. klasik progress hareketi yani.

durum ne?

progress 12 ekim’de 31 tane açığı açıklamış. bunlardan 5 tanesi kritik (9.0+ cvss), geri kalanlar yüksek ve orta seviyede. en ciddi olan iki açık, delegeli yönetici hesaplarının persistent admin kontrolü ele geçirmesine izin veriyor. yani bir kere girdikten sonra, sürekli root erişimi sağlıyor. sıfır-gün değil, ama yine de kötü.

iyi haber: yamalar 10 eylül’den beri mevcut. marklogic 11.3.7 ve marklogic 12.1.0 ile çıkmış. spoiler: eğer hala eski versiyon kullanıyorsanız, acil update yapmanız lazım.

teknik detaylar

bu açıklar authorization bypass ve privilege escalation türü. yani şöyle ki: bir hesaba “sadece bu veritabanı kullanıcısını yönet” diye yetki veriyorsunuz, adam bunu istismar ederek tüm sistemin admin’i oluyor. marklogic’in role-based access control (rbac) sisteminde bir sorun var.

etkilenen versiyonlar:

• marklogic 11.3.6 ve öncesi
• marklogic 12.0.x
• marklogic 12.1.0 öncesi

etkilenen sistemler

şimdi ne yapacaksınız

adım 1: versiyonunuzu kontrol edin

# marklogic admin paneline girin ve version'u kontrol edin
# veya command line'dan:
curl -u admin:password http://localhost:8002/admin/v1/server-config

eğer 11.3.6 veya öncesi, ya da 12.0.x versiyonundaysanız, acil acil update yapmanız lazım.

adım 2: yedek alın

# marklogic yedek komutları
# öncesinde test ortamında deneyin, sonra production'a geçin

dikkat: yedek almadan bu işe girişmeyin. sonra ağlarsınız.

adım 3: update yapın

marklogic 11.3.7 veya 12.1.0’a upgrade edin. progress’in sitesinden indirebilirsiniz.

adım 4: delegeli yöneticileri kontrol edin

# marklogic admin panelinde:
# 1. Admin Console > Users
# 2. Delegated Admin rolü olan hesapları listeleyin
# 3. Her birinin yetkilerini gözden geçirin
# 4. Gereksiz yetkiler varsa kaldırın

geçici çözümler (eğer hemen update yapamıyorsanız)

eğer hemen yamalayamıyorsanız (ama acele etmelisiniz):

1. delegeli admin hesaplarını sınırlandırın: bu hesapların sadece gerekli minimum yetkilere sahip olduğundan emin olun.

2. ağ seviyesinde kısıtlama yapın: marklogic yönetim portlarına (8001, 8002) sadece güvenilir ip’lerden erişim sağlayın.

# firewall kuralı örneği (iptables)
iptables -A INPUT -p tcp --dport 8001 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 8001 -j DROP

3. monitoring yapın: yönetici hesaplarının aktivitesini izleyin. anormal login’ler varsa hemen fark edin.

neden önemli?

arkadaşlar, bu açıklar persistence sağlıyor. yani bir kere girdikten sonra, saldırgan sürekli admin erişimi koruyor. veri tabanında ne varsa, hepsi ele geçebilir. müşteri verileri, şifreler, her şey.

spoiler: marklogic genellikle finansal ve sağlık verilerini tutuyor. bu açık kullanılırsa, ciddi bir data breach olabilir.

edit notları

• progress bu açıkları neden bu kadar geç açıkladı, bilinmiyor ama 10 eylül’den beri yama var
• eğer compliance gereksinimleriniz varsa (pci-dss, hipaa vs), bu açıkları 48 saat içinde kapatmanız gerekebilir
• cisa’nın da kataloguna ekleyip eklemediğini kontrol edin, eklediyse aciliyet artar

kaynaklar

• The Hacker News - MarkLogic Flaws
• Progress Software Security Advisory
• MarkLogic Documentation: https://docs.marklogic.com/

Bu içerik yapay zeka tarafından oluşturulmuştur.