Büyük veriye ulaştıran açığın anatomisi: Ebay kod çalıştırma zayıflığı

ebay-uzaktan-kod-calistirma-zayifligiAlman hackerlar ünlü açık arttırma ve online alışveriş sitesi Ebay’de sistemlerde uzaktan kod çalıştırma ile sonuçlanacak çok kritik bir zayıflık keşfettiler. Zayıflık Ebay içerisindeki kritik sistemlere ve bilgilere erişim imkanı tanıyordu.

Bu keşfedilen zayıflığı göstermek için hacker bir adresi manipüle ederek komut enjekte ediyor ve phpinfo() adlı PHP fonksiyonunu çalıştırıyor. Bu şekilde sistemde istenilen komutu çalıştırmak, zararlı scriptler yüklemek mümkün. Ele geçirilebilecek bilgilerin ise bir sınırı yok. Tüm Ebay müşterilerine ait kişisel bilgiler, belki derinlemesine bir araştırmayla kredi kartı bilgilerine bile ulaşmak mümkün.

Sunucuya gönderilen istek URL’leri ise aşağıdaki gibi;

ebay-uzaktan-kod-calistirma-zayifligi2

Bu keşfedilen zayıflık Ebay Güvenlik Takımına 6 Aralık tarihinde bildirilmiş. Açık ekip tarafından 9 Aralıkta kapatılmış. Konunun duyurulması ise 13 Aralığı buluyor.

Aşağıda ise zayıflığın detaylarını anlatan bir video bulunuyor;

Bu durum bize gösteriyor ki hangi boyutta olursa olsun, ne kadar denenmiş ve üzerinde çalışılmış olursa olsun sistemlerde sürekli yeni zayıflıklar meydana geliyor. Bu zayıflıklar keşfedilinceye kadar ise biz o sistemi güvenli olarak kabul ediyoruz.