OpenSSL’de ortaya çıkarılan HollowByte adlı yeni açık, yalnızca 11 baytlık özel hazırlanmış bir veri paketiyle sunucularda hizmet engelleme (DoS) etkisi oluşturabiliyor. Okta Red Team tarafından açıklanan teknik analiz, açığın saldırganların kimlik doğrulaması yapmadan sunucu belleğini giderek şişirebildiğini gösterirken OpenSSL geliştiricileri ilgili düzeltmeyi yeni sürümlere ekledi. Güvenlik uzmanları, OpenSSL kullanan sistemlerin güncel sürümlere geçirilmesini öncelikli adımlar arasında değerlendiriyor.

TLS El Sıkışma Sürecindeki Tasarım Davranışı Soruna Yol Açıyor

Okta araştırmacıları, HollowByte saldırısının TLS el sıkışma (TLS handshake) aşamasındaki bellek yönetiminden yararlandığını açıkladı. TLS protokolünde her el sıkışma mesajı, devamında gelecek verinin uzunluğunu bildiren 4 baytlık bir başlık taşıyor. Etkilenen OpenSSL sürümleri ise bu uzunluk bilgisini doğrulamadan önce belirtilen boyutta bellek ayırıyor. Saldırgan yalnızca 11 baytlık bir paket gönderip devamındaki veriyi iletmediğinde iş parçacığı bekleme durumunda kalırken ayrılan bellek de kullanılmadan tutuluyor. Böylece OpenSSL güvenlik açığı, gönderilen veri miktarından çok daha büyük bellek tüketimine neden olabiliyor.

Saldırı tek bir bağlantıyla sınırlı kalmıyor. Aynı yöntem çok sayıda TLS bağlantısı üzerinden tekrarlandığında sunucu sürekli yeni bellek ayırıyor. Bağlantılar kapansa bile GNU C Library (glibc), küçük ve orta büyüklükteki bellek alanlarını işletim sistemine hemen geri vermediği için süreç beklenenden farklı ilerliyor. Okta’nın analizine göre saldırgan her bağlantıda farklı bellek boyutları bildirerek ayrılan alanların yeniden kullanılmasını da zorlaştırabiliyor. Sonuç olarak sunucunun Resident Set Size (RSS) değeri sürekli yükseliyor, süreç yeniden başlatılmadığı sürece şişen bellek alanı tamamen temizlenemiyor.

OpenSSL, internet üzerindeki şifreli iletişimin temel bileşenlerinden biri olarak NGINX, Apache HTTP Server, Node.js, Python, PHP, Ruby, MySQL ile PostgreSQL gibi çok sayıda yazılım tarafından kullanılıyor. Çoğu Linux dağıtımı da TLS bağlantıları ile sertifika işlemleri için OpenSSL’yi varsayılan bileşen olarak sunuyor. Bu nedenle OpenSSL DoS saldırısı yalnızca tek bir uygulamayı değil, aynı kütüphaneye bağlı çok sayıda servis ile kurumsal altyapıyı etkileyebiliyor.

Okta’nın NGINX üzerinde gerçekleştirdiği testler, düşük donanımlı sistemlerde belleğin kısa sürede tükenebildiğini gösterdi. Daha güçlü sunucularda ise saldırı trafiği güvenlik sistemlerinin uyarı eşiklerinin altında kalmasına rağmen kullanılabilir belleğin yaklaşık dörtte biri tüketilebildi.

OpenSSL ekibi ilgili düzeltmeyi sessiz şekilde yayımlayarak eski sürümlere de geri taşıdı. Sorun, OpenSSL 4.0.1 ile birlikte giderilirken 3.6.3, 3.5.7, 3.4.6 ve 3.0.21 sürümlerine de aynı düzeltme eklendi. Yeni yaklaşımda yazılım, yalnızca başlık bilgisine güvenerek bellek ayırmıyor; veri gerçekten ulaştıkça tampon alanını büyütüyor. Böylece HollowByte açığı üzerinden bellek tüketimini artıran yöntem etkisiz hâle geliyor.

Okta, düzeltmenin “güçlendirme” kapsamında yayımlanmış olmasına rağmen üretim ortamlarında çalışan sunucuların gecikmeden güncellenmesini tavsiye ediyor. Özellikle internet üzerinden erişilebilen web sunucuları, API servisleri ile Linux tabanlı kurumsal sistemlerde OpenSSL sürümünün kontrol edilmesi olası hizmet kesintilerinin önüne geçilmesi açısından önem taşıyor.