CVE Nedir? Güvenlik Açığı Kodları Ne Anlama Gelir?

Siber güvenlik alanında yayımlanan duyurularda sık sık CVE-2021-44228 veya CVE-2024-3094 gibi kodlarla karşılaşılır. Bu kodlar, yazılımlarda ve çeşitli teknolojik sistemlerde tespit edilen güvenlik açıklarını tanımlamak amacıyla kullanılır.

Bir işletim sisteminde, internet tarayıcısında, sunucu yazılımında veya ağ cihazında güvenlik açığı keşfedildiğinde, ilgili sorunun ortak bir kimlik üzerinden takip edilmesi önemlidir.

CVE sistemi, güvenlik araştırmacılarının, yazılım üreticilerinin ve sistem yöneticilerinin aynı güvenlik açığından söz ettiğini belirlemeyi kolaylaştırır.

Peki, CVE tam olarak nedir, güvenlik açığı kodları nasıl oluşturulur ve bu kodlar üzerinden bir güvenlik sorununun ne kadar ciddi olduğu nasıl anlaşılır?

CVE Nedir?

CVE, İngilizce Common Vulnerabilities and Exposures ifadesinin kısaltmasıdır. Türkçede genel olarak Ortak Güvenlik Açıkları ve Maruziyetler şeklinde ifade edilebilir.

CVE Programı, kamuya açıklanan siber güvenlik açıklarına benzersiz tanımlayıcılar atanmasını sağlayan bir sistemdir.

Bu tanımlayıcılar sayesinde farklı güvenlik kuruluşları ve yazılım üreticileri aynı güvenlik açığını ortak bir numara üzerinden takip edebilir.

Örneğin bir güvenlik açığı için CVE numarası yayımlandığında, ilgili kayıt üzerinden açığın hangi yazılımı etkilediği ve ne tür bir güvenlik sorunu oluşturduğu araştırılabilir.

CVE sistemi, güvenlik açıklarının takibini kolaylaştırır. Ancak tek başına bir güvenlik tarama programı veya antivirüs yazılımı değildir.

1. CVE Kodları Ne Anlama Gelir?

CVE kodları belirli bir biçime göre oluşturulur.

Örneğin:

CVE-2021-44228

Bu kod üç temel bölümden oluşur.

CVE: Kaydın CVE tanımlayıcı sistemine ait olduğunu belirtir.

2021: CVE kimliğinin yıl bölümüdür. Bu yıl, güvenlik açığının ilk keşfedildiği veya saldırılarda kullanılmaya başlandığı yılı mutlaka göstermez.

44228: Güvenlik açığını diğer kayıtlardan ayıran sayısal tanımlayıcıdır.

CVE kodunun sonundaki sayı, güvenlik açığının önem derecesini veya kaçıncı sırada keşfedildiğini göstermez.

Örneğin numarası daha büyük olan bir CVE kaydı, numarası küçük olan başka bir kayıttan daha tehlikeli olmak zorunda değildir.

2. CVE Sistemi Neden Kullanılır?

CVE sisteminin temel amacı, güvenlik açıkları için ortak bir tanımlama standardı sağlamaktır.

Aynı güvenlik açığı farklı güvenlik şirketleri tarafından incelenebilir ve farklı isimlerle duyurulabilir.

Ortak bir CVE numarası kullanılması, bu bilgilerin aynı güvenlik sorunuyla ilişkilendirilmesini kolaylaştırır.

CVE sisteminin başlıca kullanım alanları şunlardır:

• Güvenlik açıklarının kayıt altına alınması

• Güvenlik duyurularının takip edilmesi

• Yazılım üreticilerinin güncelleme açıklamalarının karşılaştırılması

• Güvenlik tarama araçlarının bulgularının eşleştirilmesi

• Kurumsal sistemlerde güvenlik açığı yönetimi

• Güvenlik araştırmalarının ortak tanımlayıcılar üzerinden yürütülmesi

Bu sistem, güvenlik açıklarının daha düzenli biçimde takip edilmesine yardımcı olur.

3. CVE Numaraları Kim Tarafından Verilir?

CVE kimlikleri, CVE Programı kapsamında yetkilendirilmiş kuruluşlar tarafından atanır.

Bu kuruluşlar CVE Numbering Authority (CNA) olarak adlandırılır.

CNA kuruluşları arasında yazılım üreticileri, teknoloji şirketleri, güvenlik kuruluşları ve farklı sektörlerden yetkilendirilmiş organizasyonlar bulunabilir.

CVE Programı'nın işleyişinde MITRE de önemli bir rol üstlenir.

Bir güvenlik açığı için CVE numarası atanması, ilgili açığın mutlaka çok tehlikeli olduğu anlamına gelmez.

CVE tanımlayıcısının amacı, güvenlik sorununu benzersiz biçimde tanımlamaktır.

4. CVE ile CVSS Arasındaki Fark Nedir?

CVE ve CVSS, siber güvenlik alanında sıklıkla birlikte kullanılan ancak farklı amaçlara sahip iki sistemdir.

CVE, güvenlik açığını tanımlayan numaradır.

CVSS, güvenlik açığının teknik ciddiyetini değerlendirmek için kullanılan puanlama sistemidir.

Bir CVE numarasına bakarak güvenlik açığının ne kadar ciddi olduğu anlaşılamaz.

Bunun için CVSS puanı, güvenlik açığının teknik özellikleri ve aktif saldırılarda kullanılıp kullanılmadığı gibi bilgiler değerlendirilmelidir.

5. CVSS Güvenlik Açığı Puanları Nasıl Yorumlanır?

CVSS, güvenlik açıklarını değerlendirmek için kullanılan standart bir puanlama sistemidir.

CVSS v3.1 sınıflandırmasında önem seviyeleri şöyledir:

Örneğin 9.8 puanına sahip bir güvenlik açığı, CVSS v3.1 sistemine göre kritik seviyede değerlendirilir.

Ancak CVSS'nin farklı sürümleri bulunmaktadır. Bu nedenle puanların hangi sürüme göre hesaplandığına dikkat edilmelidir.

Ayrıca yüksek CVSS puanı, güvenlik açığının mutlaka aktif saldırılarda kullanıldığı anlamına gelmez.

6. CVE Kayıtlarında Hangi Bilgiler Bulunur?

Bir CVE kaydında güvenlik açığı hakkında çeşitli teknik bilgiler yer alabilir.

Bu bilgiler arasında şunlar bulunur:

CVE kimliği: Güvenlik açığını tanımlayan benzersiz numaradır.

Açıklama: Güvenlik açığının hangi sorundan kaynaklandığını ve olası etkilerini belirtir.

Etkilenen ürünler: Güvenlik açığının bulunduğu yazılım veya donanım ürünlerini gösterir.

Etkilenen sürümler: Hangi yazılım sürümlerinin ilgili güvenlik açığından etkilendiğini belirtir.

Referanslar: Üretici duyuruları, güvenlik araştırmaları veya düzeltme bilgileri gibi kaynaklara yönlendiren kayıtlardır.

Kayıt durumu: CVE kaydının yayımlanmış, ayrılmış veya reddedilmiş olmasına ilişkin bilgileri gösterebilir.

CVSS puanı gibi ek değerlendirmeler, CVE kaydını kullanan güvenlik veri tabanlarında da sunulabilir.

Her CVE kaydında aynı ayrıntı düzeyinde bilgi bulunmayabilir.

7. Gerçek CVE Güvenlik Açığı Örnekleri

Siber güvenlik tarihinde geniş çapta duyurulan birçok güvenlik açığı CVE numaralarıyla takip edilmiştir.

CVE-2017-0144 – EternalBlue ile İlişkili Güvenlik Açığı

Windows'un SMBv1 bileşenindeki bir güvenlik açığıdır.

Bu açık, EternalBlue adıyla bilinen istismar tekniğiyle ilişkilendirilmiştir. WannaCry fidye yazılımının yayılmasında da bu güvenlik açığından yararlanılmıştır.

CVE-2021-44228 – Log4Shell

Apache Log4j yazılımında tespit edilen ciddi bir güvenlik açığıdır.

Belirli koşullarda uzaktan kod çalıştırılmasına olanak tanıması nedeniyle çok sayıda kuruluşun güvenlik değerlendirmelerinde önemli yer tutmuştur.

CVE-2023-34362 – MOVEit Transfer

MOVEit Transfer yazılımında tespit edilen ve SQL enjeksiyonu ile ilişkili olan güvenlik açığıdır.

Bu açık, veri hırsızlığıyla sonuçlanan saldırılarda kullanılmıştır.

CVE-2024-3094 – XZ Utils

XZ Utils yazılımının belirli sürümlerinde tespit edilen kötü amaçlı kod yerleştirme girişimiyle ilişkili güvenlik kaydıdır.

Bu olay, yazılım tedarik zincirinin güvenliğinin önemini gösteren örneklerden biridir.

Bu örnekler, CVE sisteminin farklı türlerdeki güvenlik sorunlarını takip etmek için kullanıldığını göstermektedir.

8. CVE Kayıtları Nereden Takip Edilir?

CVE kayıtları, güvenlik açıklarıyla ilgili bilgi sunan çeşitli resmî platformlardan incelenebilir.

Bunlardan biri CVE Programı'nın kendi kayıt sistemidir.

Bir diğer önemli kaynak, ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından sağlanan National Vulnerability Database (NVD) sistemidir.

NVD, CVE kayıtlarını temel alarak güvenlik açıklarına ilişkin ek analizler, CVSS değerlendirmeleri ve çeşitli teknik bilgiler sunabilir.

Ayrıca yazılım üreticilerinin güvenlik duyuruları da CVE kayıtlarını anlamak için önemli kaynaklardır.

Örneğin Microsoft, Apple, Google ve çeşitli Linux dağıtımları, ürünlerini etkileyen güvenlik açıkları hakkında duyurular yayımlar.

9. Bir CVE Numarası Nasıl Araştırılır?

Bir güvenlik duyurusunda CVE numarasıyla karşılaşıldığında öncelikle ilgili kaydın doğruluğu kontrol edilmelidir.

Ardından güvenlik açığının hangi ürünleri ve sürümleri etkilediği incelenebilir.

İzlenebilecek temel adımlar şunlardır:

1. CVE numarasını doğru biçimde kaydedin.

2. CVE Programı veya NVD üzerinden ilgili kaydı araştırın.

3. Güvenlik açığının açıklamasını okuyun.

4. Etkilenen yazılım ve sürüm bilgilerini kontrol edin.

5. Varsa CVSS puanını inceleyin.

6. Açığın aktif saldırılarda kullanılıp kullanılmadığını araştırın.

7. Üreticinin güvenlik düzeltmesi yayımlayıp yayımlamadığını kontrol edin.

8. Kullanılan sistem etkileniyorsa gerekli güvenlik önlemlerini uygulayın.

CVE kaydının bulunması, kullanılan cihazın mutlaka güvenlik açığından etkilendiği anlamına gelmez.

Etkilenme durumu, ürün ve sürüm bilgilerinin karşılaştırılmasıyla belirlenmelidir.

10. CVE ile Zero-Day Arasındaki Fark Nedir?

CVE ve Zero-Day kavramları zaman zaman birbirine karıştırılabilir.

CVE, güvenlik açığını tanımlamak için kullanılan kimlik sistemidir.

Zero-Day ise henüz güvenlik düzeltmesi bulunmayan bir güvenlik açığını tanımlamak için kullanılan kavramdır.

Bir sıfır gün güvenlik açığına CVE numarası atanabilir.

Ancak her CVE kaydı sıfır gün güvenlik açığı değildir.

Benzer şekilde bir güvenlik açığının CVE numarası bulunması, onun mutlaka saldırganlar tarafından kullanıldığı anlamına gelmez.

11. CVE Kaydının Bulunması Güvenlik Açığının Giderildiği Anlamına Gelir mi?

Hayır. Bir güvenlik açığına CVE numarası atanması, ilgili sorunun çözüldüğünü göstermez.

Bazı güvenlik açıkları için CVE kaydı yayımlandığında henüz güvenlik güncellemesi bulunmayabilir.

Bazı durumlarda üretici, kalıcı bir düzeltme hazırlanırken geçici koruma önlemleri önerebilir.

Bu nedenle bir CVE kaydını incelerken yalnızca güvenlik açığının tanımına değil, düzeltme durumuna da dikkat edilmelidir.

Güvenlik güncellemesi yayımlanmışsa ilgili sistemin bu güncellemeyi alıp almadığı kontrol edilmelidir.

12. CISA KEV Kataloğu ile CVE Arasındaki İlişki Nedir?

CISA tarafından yayımlanan Known Exploited Vulnerabilities (KEV) kataloğu, gerçek saldırılarda kullanıldığına ilişkin güvenilir kanıt bulunan güvenlik açıklarını listeler.

KEV kataloğundaki güvenlik açıkları CVE numaraları üzerinden tanımlanır.

Ancak CVE sisteminde bulunan her güvenlik açığı KEV kataloğunda yer almaz.

Bu iki sistemin amaçları farklıdır:

• CVE: Güvenlik açıklarına ortak tanımlayıcı sağlar.

• CISA KEV: Gerçek saldırılarda kullanıldığı bilinen güvenlik açıklarını takip eder.

Bu nedenle güvenlik açığı yönetiminde CVE kayıtları ile aktif istismar bilgilerinin birlikte değerlendirilmesi yararlıdır.

13. CVE Kodları Bireysel Kullanıcılar İçin Neden Önemlidir?

CVE sistemi yalnızca siber güvenlik uzmanları veya büyük şirketler için önemli değildir.

Bilgisayar ve akıllı telefon kullanıcıları da güvenlik duyurularında yer alan CVE numaraları sayesinde belirli güvenlik sorunları hakkında bilgi edinebilir.

Örneğin bir internet tarayıcısı için güvenlik güncellemesi yayımlandığında, güncellemenin hangi açıkları kapattığı CVE numaraları üzerinden araştırılabilir.

Benzer şekilde Windows, Android, iOS ve macOS güvenlik duyurularında da CVE kayıtları bulunabilir.

Bu bilgiler, kullanıcıların güncellemelerin önemini anlamasına yardımcı olur.

Ancak günlük kullanımda bütün CVE kayıtlarının tek tek takip edilmesi zorunlu değildir. Çoğu kullanıcı için işletim sistemini, tarayıcıyı ve uygulamaları güncel tutmak temel güvenlik önlemleri arasındadır.

14. CVE Kayıtlarında RESERVED ve REJECTED Ne Anlama Gelir?

CVE sisteminde bütün kayıtlar aynı durumda bulunmaz.

Bazı CVE numaraları henüz ayrıntılı güvenlik açıklaması yayımlanmadan önce ayrılmış olabilir.

RESERVED: CVE kimliğinin ayrıldığını, ancak ilgili güvenlik açığına ait kamuya açık kayıt bilgilerinin henüz yayımlanmadığını ifade eder.

PUBLISHED: CVE kaydının kamuya açık olarak yayımlandığını gösterir.

REJECTED: CVE kimliğinin geçerli bir kayıt olarak kullanılmaması gerektiğini gösterir. Bunun nedeni mükerrer kayıt, hatalı atama veya başka bir kayıt yönetimi kararı olabilir.

Bu durumların bilinmesi, güvenlik açığı araştırmalarında yanlış değerlendirmeler yapılmasını önlemeye yardımcı olur.

15. CVE Güvenlik Açıklarına Karşı Nasıl Önlem Alınır?

CVE numarası bulunan güvenlik açıklarına karşı uygulanacak önlemler, açığın teknik özelliklerine ve etkilenen sisteme göre değişir.

Genel olarak şu güvenlik uygulamaları önem taşır:

• İşletim sistemi güncellemelerini düzenli olarak yüklemek

• İnternet tarayıcılarını güncel tutmak

• Kullanılmayan yazılımları kaldırmak

• Güvenlik duvarı ve erişim kontrollerini uygun şekilde yapılandırmak

• Gereksiz ağ hizmetlerini kapatmak

• Uygulamalara yalnızca gerekli yetkileri vermek

• Önemli verileri düzenli olarak yedeklemek

• Yazılım üreticilerinin güvenlik duyurularını takip etmek

• Aktif saldırılarda kullanılan güvenlik açıklarına öncelik vermek

Bu önlemler, bilinen güvenlik açıklarından kaynaklanan risklerin azaltılmasına yardımcı olur.

Sonuç

CVE, yazılımlarda ve çeşitli teknolojik sistemlerde tespit edilen güvenlik açıklarının ortak numaralarla tanımlanmasını sağlayan uluslararası bir sistemdir.

CVE kodları, güvenlik araştırmacılarının, yazılım üreticilerinin ve kullanıcıların aynı güvenlik açığını kolayca takip etmesine yardımcı olur.

Ancak CVE numarası tek başına güvenlik açığının ne kadar tehlikeli olduğunu göstermez. Bunun için CVSS puanı, etkilenen sistemler, güvenlik düzeltmeleri ve aktif istismar bilgileri birlikte değerlendirilmelidir.

CVE kayıtlarının doğru yorumlanması, güvenlik duyurularının anlaşılmasını ve gerekli güncellemelerin zamanında uygulanmasını kolaylaştırır.