Kaspersky açık kaynaklı Sanal Ağ Bilişim (Virtual Network Computing – VNC) sistemleri üzerinde yaptığı analizin sonuçlarını açıkladı.
Yapılan çalışmada çok sayıda projede uzun süredir var olan bozuk bellek açıkları ortaya çıktı. Tespit edilen bazı açıklar kötüye kullanıldığı takdirde, uzaktan kod çalıştırılarak VNC sistemleri etki altına alınabiliyordu. shodan.io sayfasına göre bu sistemler tüm dünyada 600.000’den fazla sunucuda yer alıyor. Cihazlara yalnızca yerel ağlardan erişilebildiği düşünüldüğünde gerçek VNC kurulumu sayısının çok daha fazla olduğu biliniyor.
VNC sistemleri, uzak çerçeve ara bellek (Remote Frame Buffer – RFB) protokolü kullanarak cihazlar arasında uzaktan erişim sağlıyor. Birden fazla platformda kullanılabilmesi ve açık kaynaklı çok sayıda sürüme sahip olmasıyla VNC sistemleri, günümüzde en popüler masaüstü paylaşım araçları haline geldi. Bu araçlar otomatik endüstriyel tesislerde sistemlerin uzaktan kontrolünü sağlamak için aktif bir şekilde kullanılıyor. Endüstriyel ağ bilgisayarlarının %32’sinde, aralarında VNC’nin de yer aldığı bir tür uzaktan yönetim aracı bulunuyor.
Açık içerenler başta olmak üzere bu sistemlerin yaygın kullanımı endüstri sektörü için önemli bir sorun teşkil ediyor. Potansiyel zararlar arasında karmaşık üretim süreçlerinin sekteye uğrayarak büyük kayıplar yaşanması yer alıyor.
Kaspersky araştırmacıları en popüler VNC sistemlerinden bazılarını inceledi: LibVNC, UltraVNC, TightVNC1.X ve TurboVNC.
Bu VNC projeleri diğer araştırmacılar tarafından daha önceden incelenmiş olsa da tüm açıkların kapatılmadığı ortaya çıktı. Kaspersky yaptığı analiz sonucunda 37 adet CVE kaydı ile çeşitli açıkları gözler önüne serdi. Açıklar yalnızca istemci tarafında değil sistemin sunucu tarafında da bulundu. Bazı açıklar uzaktan kod çalıştırılmasına olanak tanıyordu. Bu da saldırı altındaki sistemlerde her türlü değişikliğin yapılmasına olanak veriyordu. Tek olumlu nokta, sunucu tarafındaki açıkların çoğunun yalnızca parolayla giriş yaptıktan sonra kullanılabilmesi ve bazı sunucuların parolasız girişe izin vermemesi oldu.
Kaspersky ICS CERT Açık Araştırmacısı Pavel Cheremushkin konu hakkında şunları söyledi: “Keşfedilen açıkların basitliği, özellikle de uzun süredir var oldukları düşünüldüğünde beni çok şaşırttı. Saldırganlar bu açıkları çok önceden fark edip yararlanmış olabilir. Birçok açık kaynaklı projedeki bazı açıklar, açığın bulunduğu kodun da dahil olduğu kod tabanı yeniden yapılandırıldığında bile kaybolmamış. Kaspersky olarak, açıklarla gelen bu yaygın projeleri sistemli bir şekilde tespit etmenin çok önemli olduğunu düşünüyoruz. Bu nedenle bu tür araştırmalar yapıyoruz.”
Tespit edilen tüm açıklar geliştiricilere bildirildi. İletişime geçilen tüm geliştiriciler, TightVNC dışında kalan açıkları kapadı. TightVNC’nin desteklenmediği belirtildi. Bu sistemi kullananların farklı bir VNC sistemine geçmesi öneriliyor.
Hassas VNC araçlarıyla ilgili riskleri önlemek için Kaspersky uzmanları geliştiricilere ve VNC kullanıcılarına şunları öneriyor:
- Endüstriyel ağda kullanılan uygulamaları ve sistem uzaktan yönetim araçlarını denetleyin. Endüstriyel süreçler için gerekli olmayan tüm uzaktan yönetim araçlarını kaldırın.
- ICS yazılımıyla birlikte gelen (detaylı talimatlar için ilgili yazılımın belgelerine bakın) uzaktan yönetim araçlarını denetleyin ve endüstriyel süreçler için gerekli olmadığı takdirde devre dışı bırakın.
- Endüstriyel süreçler için gereken her bir uzaktan kontrol oturumunu yakından izleyin ve olayları kaydedin. Uzaktan erişim normalde devre dışı olmalı ve yalnızca talep üzerine kısıtlı bir süreliğine açılmalıdır.
- İşletim sistemlerini, uygulamaları ve güvenlik çözümlerini düzenli olarak güncelleyin. Bunların onarımı için bir prosedür belirleyin.
- Tanımadığınız VNC sunucularına bağlanmayın ve tüm sunucularda güçlü parolalar kullanın.
- Kaspersky Industrial Cybersecurity gibi, endüstriyel otomasyon sistemlerine özel bir siber güvenlik ürünü kullanın.
