CVE-2024-8070, Hassas Bilgilerin Açık Metin Depolaması

 CVE-2024-8070 ve CWE-312'ye Genel Bakış

EVlink Home Smart and Schneider Charge

CVE-2024-8070, Hassas Bilgilerin Açık Metin Depolaması ile ilgilenen CWE-312 altında kategorize edilen bir güvenlik açığına atıfta bulunur . Bu güvenlik açığı, etkilenen cihazların aygıt yazılımı ikili dosyasındaki hassas test kimlik bilgilerini açığa çıkararak önemli güvenlik riskleri oluşturur. Sorun, 13 Ekim 2024'te yayınlanmış olup yazılım ortamlarında hassas bilgilerin güvenliğini sağlamada devam eden zorlukları vurgulamaktadır.

CWE-312'yi Anlamak

CWE-312, hassas verilerin şifrelenmemiş bir biçimde depolandığı ve yetkisiz kullanıcılar tarafından erişilebilir hale getirildiği bir senaryoyu açıklar. Bu güvenlik açığı, veri ihlalleri ve sistemlere yetkisiz erişim dahil olmak üzere ciddi sonuçlara yol açabilir. Birincil endişe, bir saldırganın bu bilgilerin tutulduğu depolamaya erişim sağlaması durumunda hassas verileri okuyabilmesi, değiştirebilmesi veya silebilmesidir

1

2

.

Potansiyel Etki

CWE-312'nin etkileri çok derindir:

• Veri İhlali : Saldırganlar, parolalar veya belirteçler gibi hassas bilgileri kolayca elde edebilirler.
• Yetkisiz Erişim : Kimlik bilgileriniz tehlikeye atılırsa, saldırganlar sistemlere veya hesaplara yetkisiz erişim elde edebilir.
• İtibar Zararı : Kuruluşlar veri ihlalleri nedeniyle itibar kaybına uğrayabilir.

Bu tür güvenlik açıkları için CVSS puanı, istismar kolaylığı ve gizlilik ve bütünlük üzerindeki potansiyel etki nedeniyle genellikle yüksek bir ciddiyet seviyesini gösterir

1

6

.

Cleartext Depolama Güvenlik Açıklarına Örnekler

Örnek 1: Mobil Uygulamalar

Mobil uygulamalarda, erişim belirteçleri veya kullanıcı kimlik bilgileri gibi hassas bilgiler, şifreleme olmadan SQLite veritabanlarında saklanabilir. Örneğin:

Java'da
// BAD - Storing sensitive data in cleartext
FileWriter fw = new FileWriter("credentials.txt");
fw.write(username + ":" + password);
fw.close();

Bu örnekte, bir saldırgan cihaza erişim sağlarsa, cihazda saklanan kimlik bilgilerini kolayca çıkarabilir.  credentials.txt

3

.

Örnek 2: Web Uygulamaları

Web uygulamaları sıklıkla benzer güvenlik açıklarıyla karşı karşıya kalır. Aşağıdaki JavaScript kod parçacığını göz önünde bulundurun:

javascript
// BAD - Setting a cookie with cleartext sensitive data
app.get('/remember-password', function (req, res) {
    let pw = req.param("current_password");
    res.cookie("password", pw); // Vulnerable to exposure
});

Bu kod, kullanıcı parolalarını şifreleme olmadan çerezlerde depolar ve bu da bir saldırganın kullanıcının makinesine erişmesi durumunda bunların çalınmaya karşı savunmasız hale gelmesini sağlar

5

.

Örnek 3: Ürün Yazılımı Güvenlik Açığı

CVE-2024-8070'in özel durumu, açık metinde sabit kodlanmış test kimlik bilgileri içeren aygıt yazılımı ikili dosyalarını içerir. Bu, aygıt yazılımı görüntüsüne erişimi olan bir saldırganın bu kimlik bilgilerini kolayca çıkarmasına olanak tanıyabilir. Örneğin:

// Firmware binary contains:
username: admin
password: test123

Bir saldırgan bu ikili dosyayı alırsa, bu kimlik bilgilerini kullanarak anında erişim sağlayabilir

6

.

Azaltma Stratejileri

CWE-312 ile ilişkili güvenlik açıklarını gidermek için çeşitli azaltma stratejileri kullanılmalıdır:

1. Şifreleme : Hassas bilgileri saklamadan önce her zaman şifreleyin. Güçlü şifreleme algoritmaları ve kütüphaneleri kullanın.

   Java'da
   // GOOD - Encrypting sensitive data before storage
   String encryptedPassword = encrypt(password);
   

2. Erişim Kontrolleri : Saklanan verileri kimlerin görüntüleyebileceğini veya değiştirebileceğini sınırlamak için sıkı erişim kontrolleri uygulayın.
3. Güvenli Kodlama Uygulamaları : Sabit kodlanmış kimlik bilgilerinden kaçınmayı ve güvenli depolama mekanizmaları kullanmayı vurgulayan güvenli kodlama yönergelerini izleyin.
4. Düzenli Denetimler : Güvenlik açıklarını erken tespit edip gidermek için düzenli güvenlik denetimleri ve kod incelemeleri gerçekleştirin.
5. Kullanıcı Eğitimi : Kullanıcılara güçlü parolalar kullanma ve kimlik avı girişimlerini tanıma gibi güvenlik uygulamalarının önemi hakkında eğitim verin.

Çözüm

CVE-2024-8070, yazılım uygulamaları içindeki hassas bilgilerin güvenli bir şekilde işlenmesine yönelik kritik ihtiyacı örneklemektedir. CWE-312'nin etkilerini anlayarak ve sağlam güvenlik önlemleri uygulayarak, kuruluşlar veri ihlalleri riskini önemli ölçüde azaltabilir ve kullanıcı güvenini koruyabilir.