Saldırının Genel Çerçevesi
Yapılan son analizlere göre, GL-iNet Comet RM-1, Angeet/Yeeso ES3 KVM, Sipeed NanoKVM ve JetKVM modellerinde toplam dokuz kritik güvenlik açığı tespit edildi. Bu zafiyetler, kimlik doğrulaması yapılmadan saldırganların root erişimi elde etmesine veya rastgele kod çalıştırmasına olanak tanıyor. IP KVM cihazları, hedef sistemlerin klavye, video ve fare kontrolünü BIOS/UEFI seviyesinde uzaktan yönetebildiği için bu açıklar, saldırganlara doğrudan sistem kontrolü sağlıyor ve güvenlik önlemlerini aşma riski oluşturuyor.
Hangi Sistemler Risk Altında?
Özellikle veri merkezleri, kritik altyapılar ve kurumsal ağlarda kullanılan bu dört IP KVM cihazı, yetersiz firmware imza doğrulaması, eksik kaba kuvvet koruması, bozuk erişim kontrolleri ve açık debug arayüzleri gibi temel güvenlik eksiklikleri barındırıyor. CVE-2026-32297 (CVSS 9.8) ve CVE-2026-32298 (CVSS 8.8) gibi yüksek riskli açıklar, Angeet ES3 KVM cihazlarında kimlik doğrulaması olmadan kritik işlevlerin istismar edilmesine ve işletim sistemi komut enjeksiyonuna olanak tanıyor. Bu durum, saldırganların sistem üzerinde tam kontrol sağlamasına yol açıyor.
Saldırı Zinciri ve Teknik Detaylar
Bu açıkların istismarında tipik olarak şu adımlar izleniyor:
- Kimlik doğrulaması yapılmayan veya zayıf korunan KVM arayüzüne erişim sağlanması.
- Root erişimi elde edilerek cihaz üzerinde kötü amaçlı kodların yüklenmesi.
- BIOS/UEFI seviyesinde tuş vuruşlarının enjekte edilmesi, disk şifrelemesinin atlanması veya Secure Boot korumasının devre dışı bırakılması.
- İşletim sistemi seviyesinde güvenlik yazılımlarından kaçınarak kalıcı arka kapıların kurulması.
Özellikle UART root erişimi (CVE-2026-32291) ve yetersiz hız sınırlaması (CVE-2026-32295) gibi zafiyetler, saldırganların cihaz kaynaklarını kötüye kullanarak ağda gizli kalmasını kolaylaştırıyor. Ayrıca, firmware güncellemelerinde imza doğrulamasının olmaması, tedarik zinciri saldırılarına zemin hazırlıyor.
Siber Güvenlik Ekipleri İçin Öneriler
- KVM cihazlarının firmware güncellemelerini düzenli olarak kontrol edin ve imza doğrulaması yapılmayan sürümleri kullanmaktan kaçının.
- Yönetim arayüzlerini özel VLAN’larda izole ederek ağ segmentasyonu uygulayın.
- Çok faktörlü kimlik doğrulama (MFA) mekanizmalarını zorunlu hale getirin.
- Shodan ve benzeri araçlarla cihazların dışa açık olup olmadığını periyodik olarak tarayın.
- Beklenmeyen ağ trafiği ve cihaz davranışları için SIEM ve EDR çözümlerini entegre edin.
- Olay müdahale süreçlerinde KVM cihazlarından gelen logları ayrıntılı şekilde inceleyin.
- Fiziksel erişim kontrollerini güçlendirin ve debug arayüzlerini devre dışı bırakın.
- Güvenlik politikalarında Zero Trust prensiplerini uygulayarak cihaz erişimlerini kısıtlayın.
Kurumsal Ortamlarda Olası Senaryo
Örneğin, bir finans kurumunda kullanılan JetKVM cihazındaki yetersiz güncelleme doğrulaması (CVE-2026-32294) ve hız sınırlaması eksikliği (CVE-2026-32295), saldırganların cihazı ele geçirip ağdaki kritik sunuculara doğrudan erişim sağlamasına neden olabilir. Bu durum, fidye yazılımı saldırılarında ilk erişim noktası olarak kullanılabilir ve kurumun e-posta güvenliği ile bulut güvenliği önlemlerini aşabilir.
Bu nedenle, KVM cihazlarının güvenliği, sadece cihaz bazında değil, kurumsal ağ segmentasyonu ve IAM politikalarıyla desteklenmelidir.