Cloudflare güvenlik korumaları şaşırtıcı derecede basit bir şekilde atlatılabilir

02 Ekim 2023 19:29

ferit cem yilmaz

Uzmanlar, Cloudflare’in Güvenlik Duvarı ve DDoS önleme araçlarının, tehdit aktörlerinin kötü niyetli trafiği kendi yollarından göndermelerine veya sunucularını kötü niyetli trafiği başka bir yere yönlendirmek için kullanmalarına olanak tanıyan iki endişe verici güvenlik açığı taşıdığını iddia etti.

Certitude’un araştırmacısı Stefan Proksch’a göre, güvenlik açıkları Cloudflare’in Authenticated Origin Pulls ve Allowlist Cloudflare IP Adreslerinde bulunabilir.

İlki, bir kaynak sunucuya gönderilen HTTPS isteklerinin üçüncü bir taraftan değil Cloudflare üzerinden gelmesini sağlayan bir güvenlik aracıdır.

Cloudflare’in Allowlist Cloudflare IP Adresleri ise yalnızca Cloudflare’in IP adreslerinden gelen trafiğin müşterilerin kaynak sunucularına ulaşmasını sağlayan bir güvenlik özelliğidir.

Mantık hataları

Güvenlik açıkları, Cloudflare’in tüm kullanıcılardan gelen bağlantıları kabul eden paylaşılan altyapı kullanması nedeniyle mümkün olan kullanıcılar arası güvenlik kontrollerindeki mantık kusurlarından yararlanmaktadır. Açıkları kötüye kullanmak için bir tehdit aktörünün ihtiyaç duyduğu tek şey, hedeflenen web sunucusunun IP adresini bilmek ve ücretsiz bir Cloudflare saldırısı yapmaktır. Araştırmacının açıkladığı gibi, Authenticated Origin Pulls özelliğini yapılandırırken, kullanıcılar varsayılan olarak Cloudflare aracılığıyla bir sertifika oluşturur. Alternatif olarak, bir API kullanarak kendi sertifikalarını da yükleyebilirler.

Cloudflare’in tüm müşteriler için ortak bir sertifika kullandığı göz önüne alındığında, Cloudflare’den kaynaklanan tüm bağlantılar adil bir oyundur: Proksch, “Bir saldırgan Cloudflare ile özel bir alan adı oluşturabilir ve DNS A kaydını kurbanların IP adresine yönlendirebilir,” dedi. “Saldırgan daha sonra kiracısındaki bu özel alan adı için tüm koruma özelliklerini devre dışı bırakır ve saldırılarını Cloudflare altyapısı üzerinden tüneller aracılığıyla gerçekleştirir.”

“Bu yaklaşım, saldırganların kurban tarafından koruma özelliklerini atlatmasına olanak tanıyor.”

Bu sorunu hafifletmek için kullanıcılar özel sertifikalar kullanmalıdır.

Cloudflare IP Adreslerini İzin Ver aracına gelince, bir saldırgan bir Cloudflare hesabı oluşturur ve etki alanının DNS A kaydını kurban sunucunun IP adresine yönlendirir ve özel etki alanı için tüm koruma özelliklerini kapatırsa, kötü amaçlı trafiği Cloudflare altyapısı üzerinden yönlendirebilir. Kurbanın tarafında bu trafik meşru olarak görülecektir.

Araştırmacı, farklı istemcilere ayrılmış daha spesifik bir agress IP adresi aralığı tanımlamak için kullanıcıların Cloudflare Aegis’i kullanmalarını öneriyor.

Daha fazla bülten için;