Haziran 2024’te Broadcom tarafından yamalanan VMware vCenter Server’daki kritik bir güvenlik açığı, sahada aktif olarak sömürüldüğüne dair kanıtlar nedeniyle ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından Known Exploited Vulnerabilities (KEV) kataloğuna eklendi. CVE-2024-37079 kodlu bu zafiyet, DCE/RPC protokolündeki bir heap taşması nedeniyle uzaktan kod yürütülmesine olanak tanıyor.
Saldırı Zinciri ve Teknik Detaylar
CVE-2024-37079, ağ erişimi olan kötü niyetli aktörlerin özel hazırlanmış DCE/RPC paketleri göndererek vCenter Server üzerinde yetkisiz komut çalıştırmasına imkan sağlıyor. Bu açık, aynı protokolde bulunan diğer heap taşmaları (CVE-2024-37080) ve ayrıcalık yükseltme açığı (CVE-2024-38813) ile zincirlenerek saldırganlara root erişimi ve ESXi host kontrolü sağlayabiliyor. Bu zafiyetler, Nisan 2025’te Black Hat Asia konferansında detaylandırıldı ve toplam dört güvenlik açığından oluşan bir setin parçası olduğu belirtildi.
Hangi Sistemler Risk Altında?
Özellikle VMware vCenter Server kullanan kurumsal altyapılar, bulut ortamları ve veri merkezleri bu açığın hedefi durumunda. Saldırganlar, bu zafiyeti kullanarak kritik altyapılarda tam kontrol elde edebilir. Türkiye dahil olmak üzere global ölçekte VMware altyapısı bulunan tüm kurumların güncellemeleri zamanında yapması kritik önem taşıyor.
Siber Güvenlik Ekipleri İçin Öneriler
- VMware vCenter Server ve ESXi hostlarda en son yamaların uygulanması.
- DCE/RPC protokolü trafiğinin ağ segmentasyonu ve firewall kurallarıyla sınırlandırılması.
- EDR ve SIEM sistemlerinde CVE-2024-37079 ve ilişkili zafiyetlere yönelik anomali tespiti için kural setlerinin güncellenmesi.
- Yetkisiz erişim ve olağan dışı ağ paketleri için logların düzenli incelenmesi.
- Çok faktörlü kimlik doğrulama (MFA) ve Zero Trust mimarisi uygulamalarının güçlendirilmesi.
- Olay müdahale (incident response) planlarının CVE-2024-37079 istismar senaryolarını içerecek şekilde güncellenmesi.
- İç ağlarda rastgele SSH portları ve MCP istemcisi gibi araçların güvenlik kontrollerinin artırılması.
Teknik Özet
- Zafiyet: CVE-2024-37079 (heap taşması), CVE-2024-37080, CVE-2024-38812, CVE-2024-38813
- Hedef: VMware vCenter Server ve ESXi hostlar
- Saldırı Zinciri: Uzaktan kod yürütme → Ayrıcalık yükseltme → Root erişimi ve ESXi kontrolü
- Kullanılan Protokol: DCE/RPC
- Önerilen Savunma: Güncelleme, ağ segmentasyonu, MFA, EDR ve SIEM entegrasyonu
Bu kritik açığın aktif sömürüsü, kurumların bulut güvenliği ve ağ segmentasyonu stratejilerini gözden geçirmesini zorunlu kılıyor. Ayrıca, e-posta güvenliği ve fidye yazılımı saldırılarına karşı alınan önlemlerle birlikte, kapsamlı bir siber savunma yaklaşımı benimsenmeli.