ABD Ulusal Güvenlik Ajansı (NSA), 2016 cumhurbaşkanlığı seçimlerine müdahale etmekten sorumlu Rus askeri saldırı grubunun geçen Ağustos veya daha önce Exim’deki kritik bir güvenlik açığından yararlandığını gösteren bir siber güvenlik danışma uyarısı yayınladı.
Exim’e aşina olmayanlar için yazılım, e-posta sunucularının arka planında çalışan bir e-posta aktarım aracısıdır. MTA, mail transfer agent yâni e-posta aktarım aracısı demektir . Yazılım şu anda en popüler MTA’dır. Bunun büyük bir nedeni, Debian ve Red Hat dahil olmak üzere birçok popüler Linux dağıtımıyla birlikte gelmesidir.
Exim’deki kritik güvenlik açığı 11 ay önce tespit edildi ve sorunu çözmesi için bir yama zaten yayınlandı. Bu yüzden NSA’nın danışma zamanlaması biraz garip.
Rendition Infosec başkanı ve eski ABD hükümet hackerı, Associated Press ile konuşan Jake Williams’a göre, Exim o kadar yaygın olarak kullanılıyor ki, yazılımı çalıştıran bazı şirketler ve devlet kurumları henüz bu güvenlik açığını düzeltmemiş olabilir. NSA’nın, Saldırılarında Exim’deki kritik güvenlik açığından yararlanan Sandworm olarak bilinen Rus askeri grubuna dikkat çekmek için yeni tavsiyesini vermiş olabileceğine inanıyor.
Rus Ajanları ve Kum Solucanı (Sandworm)
NSA, danışmanlığında, Kum Solucanı’nın aktif olarak sömürdüğü Exim’deki güvenlik açığı hakkında daha fazla ayrıntı sağlayarak şunları söyledi:
“Güvenlik açığından yararlanan CVE-2019-10149, uzaktaki bir saldırganın istediği komutları ve kodu yürütmesine izin verir. Genelkurmay Ana İstihbarat Müdürlüğü’nün (GRU) Özel Teknolojiler Ana Merkezi’nin (GTsST) bir parçası olan Rus aktörler, bu sömürüyü ayrıcalıklı kullanıcılar eklemek, ağ güvenliği ayarlarını devre dışı bırakmak, daha fazla ağ kullanımı için ek komut dosyaları yürütmek için kullandılar. Hemen hemen her saldırganın arzu ettiği rüya erişim. Exim bu ağı kullandığı müddetçe erişebileceklerdi.”
NSA, Kremlin ajanlarının şu anda çevrimiçi olarak ülkenin 2020 cumhurbaşkanlığı seçimlerinin bütünlüğünü tehdit edebilecek faaliyetlerde bulundukları konusunda uyardılar.
Exim kullanan kuruluşlar ve devlet kurumları, herhangi bir potansiyel saldırıya maruz kalmamak için henüz yapmadıysa bu yamayı derhal uygulamalıdır.
