Luanti (eski adıyla Minetest), büyük bir ContentDB güvenlik ihlali açıkladı

Luanti (eski adıyla Minetest) ekibi, yeni duyurduğu gibi, ContentDB sistemlerinde bir güvenlik ihlali yaşandı.

ContentDB nedir? ContentDB (“Content Database”ın kısaltması), Luanti için modlar, oyunlar ve texture packler gibi içeriklerin indirilmesinin resmi yoludır.

Ne yazık ki, geliştiricinin belirttiği gibi: “saldırgan ContentDB sunucularına, e-postalar, hashlenmiş parolalar ve yüklemeler dahil olmak üzere yetkisiz erişim sağladı”. Saldırgan iki açığı sömürdü; bunlardan biri Luanti geliştiricilerinin raporladığı üçüncü taraf bir bileşendi. Açıkladıkları gibi:

Ne oldu?

Saldırgan, iki açığı sömürerek ContentDB’ye girdi. Bu açıklardan biri, sürümcüye raporladığımız üçüncü taraf bir bileşendeydi. Düzeltilip halka açık hale getirildikten sonra daha fazla bilgi paylaşacağız.

22 Ekim 13:00’den itibaren saldırgan ContentDB’nin iç yapılandırmasına erişim sağladı. Bu yapılandırmayı bir personel hesabına giriş için kullandığını doğruladık. Bu yapılandırma ayrıca yüklemeleri değiştirme ve e-posta gönderme imkanı sağlıyordu, ancak bunun gerçekleştiğine dair kanıtımız yok.

22 Ekim 17:35’te, tesadüfen açıklardan biri için bir yama yayınladık. Bu noktada, açığın zaten sömürüldüğünü bilmiyorduk.

24 Ekim 23:00’den itibaren saldırgan sistemi uzak kod çalıştırma açıkları açısından taramaya başladı.

26 Ekim 00:15’ten itibaren saldırganın docker container içinde sunucumuzda komutları çalıştırma konusunda tam erişim sağladığını doğruladık. Bu, veritabanına ve bu container içinde çalışan kodu değiştirmiş olabilecekleri anlamına geliyor.

Kırışmayı sabah fark ettik ve ContentDB’yi 09:00’de çevrimdışı bıraktık. Tüm gizli anahtarları iptal ettik.

Ne erişilmiş olabilir?

Saldırgan gizli anahtarlar, veritabanı, redis ve yüklemeler üzerinde tam erişime sahipti:

• Hesap bilgileri: kullanıcı adları, e-postalar ve hashlenmiş parolalar. Parolar tuzlu hashler (bcrypt2) olarak saklanır ve asla düz metin olarak değil. Güçlü, benzersiz parolar bu hashlerden geriye döndürülmek zorundadır, ancak zayıf veya yaygın olanlar tahmin edilebilir.
• IP adresleri, 26 Ekim’den iki hafta önce ContentDB’den paket indiren ya da oyun içinde görüntüleyen kişilerin hiçbir hesabıyla ilişkilendirilmemiştir.
• Yüklenmiş paketler ve sürüm dosyaları.

Gizli anahtar ile herhangi bir hesabın adına hareket edebilirlerdi.

Her yüklemeyi yedeklerimizle karşılaştırdık ve hiçbir değişiklik bulamadık. Ancak, saldırganın açık dönemde ContentDB’nin kötü amaçlı yüklemeler sunmasına neden olmuş olabileceği ihtimalini hariç tutmadık.

Ay. Umarım Luanti ve ContentDB bu durumdan daha güçlü bir şekilde çıkabilir ve güvenlikleri artırılır. Bu sorunla başa çıkanlar yalnızca onlar değil, özellikle de son PHP sorunları nedeniyle düşüş etkilerini hâlâ görüyoruz.

Yapay zeka sayesinde, ileride daha fazla açığın sömürülmesini görmemiz muhtemel. Yapay zeka ajanlarının sunucuları yoklayıp denemesini o kadar kolaylaştırması nedeniyle, eskiden oldukça zor olan şey artık oldukça kolay bir şekilde otomatikleştirilebiliyor.