LoveFreek
Birisi mi Spawnlandı?
Güvenlik Analizi: LeaderOS ve Crafter Üzerinde Stored XSS ve Oturum Güvenliği Riski
Özet:
Bu paylaşımın amacı herhangi bir kişiyi hedef göstermek değil; forumlarda sıkça önerilen bazı yazılımların güvenlik açısından daha dikkatli değerlendirilmesi gerektiğini ortaya koymaktır.
Aşağıdaki değerlendirme; kullanıcı girdilerinin işlenmesi, dosya yükleme süreçleri, HTML/SVG içeriklerinin filtrelenmesi ve oturum güvenliği konularında görülebilecek risklere odaklanmaktadır.
CVE Benzeri Güvenlik Bildirimi
Başlık: Kullanıcı Kontrollü İçerik Üzerinden Stored Cross-Site Scripting ve Oturum Güvenliği Riski
Etkilenen Sistemler: LeaderOS eski sürümleri, CrafterCMS ilgili bileşenleri
Zafiyet Türü: Stored Cross-Site Scripting, Session Security Weakness
CWE Sınıflandırması: CWE-79 - Improper Neutralization of Input During Web Page Generation
Ek Risk Sınıfı: CWE-384 - Session Management Weakness
Etki Seviyesi: Yüksek
Saldırı Vektörü: Kullanıcı tarafından yüklenen veya girilen içerik
Etkilenen Alanlar: Editör alanları, profil alanları, yorum alanları, dosya yükleme süreçleri, SVG/HTML işleme noktaları, oturum yönetimi
1. LeaderOS Analizi
LeaderOS tarafında özellikle editör ve dosya işleme süreçlerinde ciddi güvenlik riskleri bulunduğu görülmektedir.
Buradaki temel problem, kullanıcı tarafından yüklenen içeriklerin yeterli şekilde temizlenmeden veya doğrulanmadan sistem içerisinde görüntülenebilmesidir. Özellikle SVG gibi dosyalar yalnızca görsel dosya olarak değerlendirilmemeli; içeriklerinde çalıştırılabilir veya tetiklenebilir yapılar bulunabileceği unutulmamalıdır.
Bu tür bir senaryoda, zararlı içerik sisteme yüklendikten sonra yetkili bir kullanıcı tarafından görüntülendiğinde tarayıcı tarafında JavaScript çalışması mümkün hale gelebilir. Bu durum Stored XSS olarak bilinen ciddi bir güvenlik problemidir.
Risk:
Yetkili kullanıcıların oturumları, yönetim paneli işlemleri veya kullanıcıya ait hassas arayüzler bu tip açıklar nedeniyle risk altına girebilir.
2. LeaderOS Üzerinde Oturum Güvenliği Riski
Stored XSS senaryosunun etkisi yalnızca tarayıcıda basit bir çıktı veya uyarı çalıştırmakla sınırlı değildir. Açığın yetkili bir kullanıcı tarafından tetiklenmesi halinde, oturum güvenliği açısından daha kritik sonuçlar ortaya çıkabilir.
PHP tabanlı birçok sistemde oturum yönetimi varsayılan olarak PHPSESSID çerezi üzerinden yürütülmektedir. Eğer oturum çerezleri yeterli güvenlik bayraklarıyla korunmuyorsa veya kullanıcı kontrollü içerikler üzerinden tarayıcıda kod çalıştırılabiliyorsa, oturum bütünlüğünü riske atabilecek senaryolar oluşabilir.
Bu durum özellikle yönetici veya moderatör gibi yetkili kullanıcıların zararlı içerikle etkileşime girdiği alanlarda daha kritik hale gelir. Çünkü XSS açığı yalnızca görsel bir bozulma değil; oturum güvenliği, yetki kontrolü ve yönetim paneli işlemleri açısından da ciddi risk doğurabilir.
Teknik Risk:
- Yetkili kullanıcının tarayıcısında izinsiz JavaScript çalıştırılması
- Oturum çerezlerinin güvenliğinin riske girmesi
- Oturum bütünlüğünün zayıflaması
- Yönetici panelinde yetkisiz işlem tetiklenebilmesi
- Kullanıcı arayüzünün manipüle edilebilmesi
- Sistemin güvenilirliğinin zarar görmesi
Önemli Not:
Bu tür risklerde asıl problem, yalnızca XSS çıktısının oluşması değildir. Daha kritik nokta, bu çıktının yetkili kullanıcıların eriştiği alanlarda çalışabilmesi ve oturum güvenliği üzerinde zincirleme etkilere sebep olabilmesidir.
3. Crafter Analizi
Crafter tarafında React kullanılması, sistemin otomatik olarak güvenli olduğu anlamına gelmez.
React normal şartlarda kullanıcıdan gelen verileri güvenli şekilde ekrana basmaya yardımcı olan mekanizmalara sahiptir. Ancak geliştirici tarafından bu mekanizmalar bilinçsizce devre dışı bırakılırsa, React tabanlı bir sistem de klasik XSS açıklarına maruz kalabilir.
Özellikle kullanıcıdan gelen verilerin HTML olarak doğrudan işlenmesi, ciddi güvenlik riskleri oluşturur.
Teknik Problem:
Kullanıcı girdilerinin yeterli filtreleme yapılmadan HTML olarak render edilmesi, Stored XSS riskine neden olabilir.
Etkilenebilecek Alanlar:
- Profil açıklama alanları
- Yorum alanları
- Editör içerikleri
- Dosya açıklamaları
- Kullanıcı tarafından düzenlenebilen HTML içerikleri
- SVG veya benzeri dosya yükleme noktaları
Olası Etki
Bu tür zafiyetler başarılı şekilde kötüye kullanıldığında aşağıdaki sonuçlara yol açabilir:
- Yetkili kullanıcının tarayıcısında izinsiz kod çalıştırılması
- Oturum güvenliğinin riske girmesi
- Yönetim paneli üzerinde yetkisiz işlemler tetiklenmesi
- Kullanıcı arayüzünün manipüle edilmesi
- Sahte yönlendirme veya içerik enjeksiyonu yapılması
- Sistem güvenilirliğinin zarar görmesi
Kanıt Durumu
LeaderOS tarafında yapılan testlerde SVG uzantılı içeriklerin yüklenebildiği, public asset yolu üzerinden erişilebilir hale geldiği ve editör/mesaj alanlarında işlendiği görülmüştür. Bu durum, SVG içeriklerinin yeterli seviyede filtrelenmediği senaryolarda Stored XSS riski doğurabilir.
Crafter tarafında ise açıklama/editör alanına girilen SVG ve script tabanlı içeriğin yeterli şekilde sanitize edilmeden işlendiği gözlemlenmiştir. Test sırasında zararsız JavaScript çıktısı alınabilmiş, bu da kullanıcı kontrollü içeriğin tarayıcı tarafında çalıştırılabildiğini göstermiştir.
Bu bulgular, yalnızca görsel bozulma veya basit input hatası değil; oturum güvenliği, kullanıcı arayüzü manipülasyonu ve yetkili kullanıcı etkileşimi durumunda daha kritik sonuçlar doğurabilecek Stored XSS riskine işaret etmektedir.
Teknik Değerlendirme
Stored XSS açıkları, özellikle yönetim paneli veya moderasyon paneli gibi yetkili kullanıcıların eriştiği alanlarda çok daha kritik hale gelir.
Çünkü saldırganın sisteme eklediği zararlı içerik, normal kullanıcı yerine yönetici veya moderatör gibi daha yetkili bir kişi tarafından görüntülenebilir. Bu durumda açık yalnızca görsel bir bozulma değil, doğrudan yetki ve oturum güvenliği problemi haline gelir.
Bu nedenle kullanıcıdan gelen hiçbir veri güvenilir kabul edilmemelidir.
Önerilen Güvenlik Önlemleri
Bu açıkların kapatılması için yalnızca basit uzantı kontrolü yeterli değildir. Daha kapsamlı bir güvenlik yaklaşımı gerekir.
- SVG Sanitization: SVG dosyaları yalnızca uzantıya göre değil, içerik seviyesinde kontrol edilmelidir.
- HTML Filtreleme: Kullanıcıdan gelen HTML içerikleri güvenli liste mantığıyla temizlenmelidir.
- DOMPurify Kullanımı: React veya benzeri yapılarda HTML render edilmesi gerekiyorsa, içerik güvenilir sanitization kütüphaneleriyle temizlenmelidir.
- dangerouslySetInnerHTML Kullanımından Kaçınma: Zorunlu olmadıkça doğrudan HTML render edilmemelidir.
- Content Security Policy: CSP başlıkları doğru şekilde yapılandırılmalıdır.
- HttpOnly Cookie Kullanımı: Oturum çerezleri JavaScript tarafından erişilemeyecek şekilde HttpOnly olarak işaretlenmelidir.
- Secure Cookie Kullanımı: Çerezler yalnızca HTTPS üzerinden iletilecek şekilde yapılandırılmalıdır.
- SameSite Politikası: CSRF ve oturum kötüye kullanımı risklerini azaltmak için SameSite ayarı doğru yapılandırılmalıdır.
- Oturum Yenileme: Yetki değişimi, giriş ve kritik işlemlerden sonra oturum kimliği yenilenmelidir.
- Dosya İçeriği Analizi: Yüklenen dosyaların MIME type, içerik ve davranış kontrolleri yapılmalıdır.
- WAF Kullanımı: Uygulama önünde ek güvenlik katmanı olarak WAF değerlendirilebilir.
- Yetkili Panel İzolasyonu: Yönetici panelleri kullanıcı içeriklerinden mümkün olduğunca izole edilmelidir.
- Düzenli Güvenlik Testleri: Editörler, yorum alanları ve dosya yükleme noktaları düzenli olarak test edilmelidir.
Kanıt Görselleri
Aşağıdaki görseller, anlatılan risklerin teorik olmadığını ve gerçek kullanım senaryolarında güvenlik problemi oluşturabileceğini göstermek amacıyla paylaşılmıştır.
LeaderOS:
Crafter:
Crafter:
Sonuç
Bir yazılımın modern teknoloji kullanması, popüler olması veya forumlarda sıkça önerilmesi onu otomatik olarak güvenli hale getirmez.
Önemli olan; kullanıcı girdilerinin nasıl işlendiği, dosya yükleme süreçlerinin nasıl kontrol edildiği, HTML/SVG içeriklerinin nasıl filtrelendiği, oturum çerezlerinin nasıl korunduğu ve geliştirici ekibin güvenlik yaklaşımının ne kadar ciddi olduğudur.
Stored XSS gibi açıklar, özellikle yönetim panelleri ve yetkili kullanıcıların eriştiği alanlarda kritik sonuçlar doğurabilir. Bu riskler oturum güvenliğiyle birleştiğinde, sistemin genel güvenlik mimarisi açısından çok daha ciddi sonuçlar ortaya çıkabilir.
Bu nedenle herhangi bir yazılım önerilirken yalnızca arayüzüne veya kullanılan teknolojiye değil, güvenlik mimarisine de bakılması gerekir.
İyi forumlar.
Son düzenleme:
