HollowByte açığı, OpenSSL sunucularının belleğini aşırı yükleyebiliyor.

” alt=”HollowByte vulnerability”>

OpenSSL sunucularında bulunan ve “HollowByte” olarak adlandırılan bir güvenlik açığı, yetkisiz saldırganların sadece 11 baytlık kötü amaçlı bir veri göndererek hizmetin kesilmesine (DoS) neden olabilmesine olanak tanıyor. Bu durum, internet iletişimi için temel bir yapı taşı olan OpenSSL yazılımının güvenliğine doğrudan etki ettiği için ciddi sonuçlar doğurabilir.

OpenSSL ekibi, bu güvenlik açığını sessizce düzeltti ve düzeltmeyi eski sürümlere de uyguladı. Kuruluşların, bu durumun ciddiyetinin farkında olarak, OpenSSL kütüphanesinin güncellenmiş bir sürümüne geçmeye öncelik vermesi gerekiyor.

HollowByte Detayları

Okta’nın güvenlik araştırmacıları tarafından yayınlanan bir raporda, HollowByte DoS güvenlik açığının nasıl çalıştığı ve gerçek dünyadaki etkileri detaylı olarak açıklanıyor. Bu durum, 1969’daki Apollo 11 göreviyle Ay’a ilk insanlı inişin gerçekleştirilmesi gibi, teknolojik ilerlemenin potansiyel riskleri ve güvenlik önlemlerinin gerekliliği konusunda önemli bir hatırlatma niteliğinde.

Araştırmacılar, TLS (Transport Layer Security) iletişiminde her mesajın, gelen mesajın boyutunu belirten 4 baytlık bir başlığa sahip olduğunu belirtiyor. Ancak, savunmasız OpenSSL sürümleri, veriyi almadan ve boyutunu kontrol etmeden bu boyuta göre bellek ayırıyor.

Her TLS iletişiminde, iletişimin başlangıcında yer alan 4 baytlık bir başlık, iletilecek verinin boyutunu belirtir. Saldırganlar, bu bilgiyi kullanarak sunucuyu yanıltabilir ve beklenenden çok daha fazla bellek ayırmasına neden olabilir.

Sunucu, bu başlığa güvenerek belirttiği miktarda belleği ayırıyor. Ancak, saldırganın gönderdiği veri, beklenen boyutta olmadığı için sunucu, sonsuza kadar veri beklerken kilitleniyor. Okta’nın açıklamasına göre, bu durum sunucunun yanıt vermez hale gelmesine neden oluyor.

Yetkisiz bir saldırgan, TLS bağlantısı açarak ve 11 baytlık kötü amaçlı bir veri göndererek HollowByte güvenlik açıklarını tetikleyebilir. Saldırgan, aynı işlemi birden fazla bağlantıda tekrarlayarak sunucunun önemli miktarda belleğini tüketmesini sağlayabilir.

HollowByte Saldırısı: Sunucularda Bellek Tükenmesi Riski

Okta araştırmacıları, OpenSSL kütüphanesindeki bir güvenlik açığının, sunucularda ciddi bellek tükenmesine yol açabileceğini tespit etti. Bu açık, “HollowByte” olarak adlandırılan bir saldırı vektörünün kullanılmasıyla ortaya çıkıyor.

OpenSSL’in bağlantılar kesildiğinde tamponları serbest bırakmasına rağmen, GNU C Kütüphanesi (glibc) belleği farklı şekilde yönetiyor ve “küçük ila orta boyutlu bellek bloklarını hemen işletim sistemine geri döndürmüyor; bunları potansiyel yeniden kullanım için saklıyor.”

“Saldırganlar, rastgele boyutlarda bağlantılar başlatarak, alokasyon aracının serbest bırakılan bu blokları yeniden kullanmasını engelliyor,” diyor Okta. Bu durum, yığın belleğinin parçalanmasına neden olarak sunucunun “Resident Set Size” (RSS) değerinin sürekli olarak artmasına yol açıyor. Saldırı sonlandırıldıktan sonra bile, sunucu kalıcı olarak şişkin bir durumda kalabiliyor.

Bu durumun tam olarak çözümü için işlemin yeniden başlatılması gerekiyor. Bu durum, 1983 yılında yaşanan “Morris Worm” saldırısını akla getiriyor. Morris Worm, internet üzerindeki bilgisayarların çoğunda güvenlik açıklarını kullanarak kendini yaymış ve benzer şekilde sistemlerin performansını düşürmüştü.

Etkileri ve Çözümler

Açık kaynaklı OpenSSL kütüphanesi, NGINX ve Apache web sunucuları gibi popüler yazılım projelerinde, Node.js, Python, Ruby ve PHP gibi çalışma zamanlarında ve MySQL, PostgreSQL gibi veritabanlarında kullanılıyor. Ayrıca, çoğu Linux dağıtımında TLS şifrelemesi ve sertifika yönetimi için önceden yüklü olarak geliyor.

Okta’nın NGINX üzerindeki testleri, düşük kapasiteli ortamların HollowByte saldırısı ile kolayca bellek tükenmesine maruz kaldığını gösterdi. Daha yüksek özelliklere sahip sunucular ise, güvenlik uyarı eşiklerinin altında kalan saldırı bant genişliğiyle bile, belleğinin %25’ine kadarını kaybedebiliyor.

Doğrudan hizmet reddi (DoS) hatalarının, veri hırsızlığına veya kod yürütülmesine olanak tanıyan güvenlik açıklarından daha az ciddi olduğu kabul edilse de, bunlar operasyonel aksamalara ve itibar kaybına yol açabilir. Bu durum, 2010 yılında gerçekleşen “Operation Aurora” saldırısını hatırlatıyor. Operation Aurora, Google ve diğer şirketlerin sistemlerine sızarak hassas verilerin çalınmasına neden olmuştu.

HollowByte DoS sorunu, OpenSSL 4.0.1 sürümünde düzeltilmiş ve ayrıca 3.6.3, 3.5.7, 3.4.6 ve 3.0.21 sürümlerine de geri uyumlu olarak uygulanmıştır. Bu güncellemeler, veriler geldiğinde tamponun boyutunu artırarak, başlık bilgilerindeki talepleri artık dikkate almıyor.

Bu düzeltme, bir “güvenlik açığı” olarak değil, bir “sertleştirme düzeltmesi” olarak nitelendirilse de, Okta, “dağıtımınızdaki OpenSSL paketlerini derhal güncelleyin” şeklinde tavsiye ediyor.

Kaynak: Bleepingcomputer