AutoVM Açığı (?) hakkında Tartışma Konusu

Merhabalar,

Öncelikle bu konuyu açma sebebim AutoVM'e eklediğim bir kaç ek özellik var ve bunun satışını yapıyor(d)um.

AutoVM'de açık var konusu artık evrilerek veri merkezinde yangın çıksa AutoVM tetikledi boyutuna taşındığı için bir açıklama, tartışma konusu açmak istedim.

Bu konu ayyuka 1 ay önce çıktı ve belirtilen açık framework taraflı idi. Framework güncellemek firmaların sorumluluğundadır demeden, framework versiyonu güncel olmayan firmalara tek tek yardımcı oldum.

Açığın AutoVM'den kaynaklandığına emin olup ısrar eden 3 4 tane müşterim olduğu için de, Acaba benim mi göremediğim bir şey var ? Madem bu kadar eminler diye bir insiyatif alarak binlerce dosyanın içerisinde şifrelenmiş tek dosyayı açık kaynağı ile paylaşma kararı aldım (Bu dosya benim eklediğim ek özellikleri barındırıyor ve satışını yaptığım, lisansladığım şeyde bu dosya). Bunları yapmama rağmen herhangi bir geri dönüş alamadım.

Daha sonra gene insiyatif alarak çokça dedikodu olduğu için firmaların içi tamamen rahat olsun diye, yazılımı tamamen dışarıya kapattım. Bunu AutoVM kendisi bile yapmamış, yapmaya üşenmişler ve yönetimi iframe içerisinden sağlamışlar. Ben iframesiz olan modülünü çıkarttım ve tamamen her şeyi whmcs/wisecp tarafına gömdüm. Günlerce uğraşmama rağmen de herhangi bir ücret talep etmedim kimseden.

Bunları yapmak benim sorumluluğumda değildi ama sorumluluk alarak neredeyse 1 aydır bunlar ile uğraşıp her firmanın içini rahatlatmaya çalıştım.

Şimdi değinmek istediğim konu şu; Bazı kişiler Açığın Autovm'den kaynaklandığını söyleyip bu açık kapatılamaz diyorlar. Diğerleri de evet kapatılamaz diyip kendi ürününün satışını yapma peşinde.

Herhangi bir insan evladı niye çıkıp, Bu kadar eminseniz niye açığı söylemiyorsunuz demiyor ? Bunda niye bir art niyet aramıyor ? Bu açık kapatılamaz dediğine göre açığın nereden kaynaklandığını bilmesi gerekir. Bilmiyorsa da böyle bir konu açmaması gerekir. "Bu kategoride açılmış olan framework açığından bahsetmiyorum."

Ben AutoVM'in yapmadığı şeyi yapmaya razıyım. Eğer ortada bir açık var ve emin iseniz bunu bana şuradan kaynaklanıyor diye bildirin benim müşterim olsun veya olmasın herkese bu güncellemeyi ücretsiz vereceğime söz veriyorum.

Bunun haricinde bu yapılan dedikodular yüzünden de mağdur olan 2 tane firma benimle iletişime geçti.

Bahsettikleri şey şu;

"AutoVM'den kaynaklandığına dair eminlerdi bizde önlemimizi AutoVM kullanmayarak aldık. Gene de veri kaybı yaşadık. Ortada dolaşan kesin gözü ile baktığımız, dedikodu yüzünden yanlış önlemler aldık ve mağdur olduk."

Yani burada mağdur olan firmaların varsayımlarını kesin gözü ile iletip, buradan dolayı mağdur olduk demeleri ve bunu gören firmaların bu olayı yaşamamak için aldığı önlemlerin yanlış olabileceğinden bahsediyorum. Mağdur olan firmalar istemeden başka firmaları yanlış önlemler aldırtarak mağdur edebiliyor.

En basit örneği; Bu olay AutoVM'den kaynaklanmış o zaman AutoVM kullanmayı bırakayım diye düşünüp, aslında öyle olmadığı için önlem aldığını sanıp vmware tarafında hiç bir önlem almamaya devam ediyor. Bunun neticesinde ise mağdur oluyor. Bilgi kirliliğinden dolayı.

Özetle şunu demek istiyorum. Herkesten varsayımlarını bir kenara bırakmasını istiyorum. AutoVM'de bir açık var ise bunu tespit edip güncelleyelim.

Ben belki kötü bir yazılımcıyımdır ve tespit edememişimdir.

Hayırlı akşamlar herkese.

Tebrik ederim herkes sizin kadar şeffaf olsa emeğinize sağlık ,keşke herkes sizin düşünce yapınıza sahip olsa

Maalesef hala müşterilerini daha doğrusu yaptığı işi önemsemeyip (yada hosting firmasıyım diyen fakat çokta bilgisi olmayan kişiler) ana sunucu erişimlerini dışarıya tutanlar var. Sorun tamamen bunlardan kaynaklanıyor. Bu olay yeni bir şey değil bundan aylar önce VCenter bu açığı kritik bir durum olarak paylaştı ve çözümünü de beraberinde paylaştı. Fakat ben bizim Türkiye'de kullandığı servislerin güncel haberlerini takip eden firma görmedim. Artık bunun nedeni İngilizce bilmemek mi yoksa işini sallamamak mı bilmiyorum. Bizim kullandığımız tüm servisler İngilizce. Sorun AutoVM' de diyen arkadaşlar önce ufak bir araştırma yapsalardı bu sorunun VCenter SSO tarafında olduğunu göreceklerdi fakat çoğu kişi bu bilgiye sahip olmadığı için ortada ne var AutoVM buna sallayalım bari dediler. Açıkçası VMWare bile böyle bir sorun var alın buda fix dedi geçti ve bir daha yüzüne bile bakmadı. Şahsen ben @onatweb; yerinde olsam bu tavırda devam ederdim. Açık varsa gelin gösterin yoksa sözler bir şey ifade etmez. Öyle lisansladığım dosyayı açıp falan da vermezdim ama bu tercih yine de sizin gereksiz kişilerin baskısından dolayıdır diye düşünüyorum. Üzülerek söylüyorum ki maalesef şuan bile hala ESXi erişimi dışarıya açık olan kurumsalım diyen firmalar var. Bu böyle olduğu sürece hack olayları da devam edecek. Benim tavsiyem tekrardan sadece sunucu kiralayıp yada barındırıp AutoVM kurarak VDS satıp ben hosting firmasıyım demeyin lütfen. Bilmemek ayıp değil bu şekilde umarsamadan hareket etmek ayıptır. Kullandığınız servislerin güncellemeleri ve haberlerini takip edin. VCenter, ESXi , cPanel artık ne varsa sizin işiniz bu bi zahmet forumlarına girip haftada 1 bi bakın ne olmuş ne güncelleme var vs. İngilizceniz mi yetersiz translate diye bir şey var tek tuş sayfaya sağ tıklayın çevirin oldu bitti. Maalesef bu konularda kendimizi geliştiremez ve ilerletemezsek, sadece bir sunucu alıp kabine koyarak hosting işi yapıyorum dersek bu sorunlar daha çok devam eder. AutoVM' e sallamadan önce herkesin bi kendini toparlaması, güvenliğini sağlaması gerek. Kendi alanında profesyonel olup tüm önlemlerini aldıktan sonra sorun oluyorsa o zaman bence AutoVM' e gelip sallayabilir yada üzerinde durabiliriz. Aksi halde bu şekilde olan müşterilerimize oluyor ve forumda "Türk firmalardan bir şey alınmaz, yabancılar daha iyi" gibi cümlelerin sayısı artıyor. Yabancılar daha iyi değil emin olun sadece yaptıkları işe önem veriyorlar ve gereken şekilde yapıyorlar. ESXi mı var adam güncellemelerini ve haberlerini takip ediyor servislerinin güvenliğini sağlıyor doğal olarak başına bir şey gelmiyor. Sonra o firmaya bir şey olmadığı için forumdaki ürün arayan arkadaşlar yabancılar daha iyi diyor. Kaç tane hosting firması sahibi "https://communities.vmware.com/t5/VMware-vSphere/ct-p/2000-home" şuraya giripte konuları okumuştur veya esxi/vcenter patch lerini takip etmiştir bence %1 falandır. AutoVM e çok yüklendikleri için uzunca yazıyorum arkadaşlar önce yaptığımız işi %100 öğrenelim. Bir panel kurup VDS satmakla olmuyor bu iş. OS bileceksiniz, Network bileceksiniz, Router vb. cihazlardan anlamanız gerekiyor %100 profesyonel olmayacaksınız fakat işinizin devamlılığını sağlayacak kadar bileceksiniz aksi halde ana makinemdeki VDS ler silindi noldu sorun ne bence AutoVM dersiniz ve onlarca müşterinizi mağdur edersiniz.

Ben sadece kurumsal olan firmaları kurumsallık çizgisinden çıkmamaya davet ediyorum. Ortada somut bir done olmadan tamamen varsayımlar ile "bu kadar kişi yanılıyor olamaz" dedikodusunu bir kanıt olarak görüp, Bundan kaynaklandı demeleri kurumsallığa yakışmayan bir hareket. Eğer bildiriminizde A yazılımından kaynaklandı diyorsanız bunu ispatlamış olmanız gerekiyor. AutoVM benim yazılımım olmamasına rağmen bu süreçte bunlar dedikodudur ortada somut bir delil yok demeden sorumluluk alıp herkese yardımcı olmaya çalıştım. Düşünüyorum ki yanlış yaptım, çünkü bu iyi niyetim bana bir tehdit oluşturmaya başladı. Suçluluk duyduğumdan falan yapmadım bunları iş ahlakım olduğu için yaptım.

Autovm üzerinde herhangi bir açık tespit edemedim şahsım olarak, buna rağmen firmaların içi biraz daha rahat olsun diye AutoVM yazılımını komple değiştirerek tamamen dışarıya kapattım. Bu bir önlemdir. Firmalar bu gibi önlemleri kendi almak mecburiyetindedir. Ben kimsenin IT çalışanı değilim. Kullandığınız yazılımları bilerek kullanmanız gerekiyor. Bilmeden kullandığınız yazılımlarda yarın çıkıp B yazılımı sorumludur demeye devam edeceksiniz. Mağduriyet aynı ama yazılım isimleri farklı olacak maalesef.

Emin olun bu süreçte verdiğim desteği AutoVM'in kendisi bile vermez. Onların sorumluluğunda bir şey yok çünkü. Açık tespit edilirse fixlenir, yazılımın kanunu budur. Olmayan hayali bir açık ise fixlenemez, ek önlemler alınır içinin rahat olması için. Bu süreçte ise bunu yaptık.

Tekrardan diyorum ben belki dört dörtlük bir yazılımcı değilimdir ve açığı tespit edememişimdir. Emin olan arkadaşlar şuradan kaynaklanıyor diye bir geri dönüş yaparlar ise müşterim olsun veya olmasın bu açığı kapatmak ne kadar sürerse sürsün ücretsiz bir şekilde yapacağıma dair söz veriyorum. Bunun haricinde lütfen benimle irtibata geçmeyin yapabileceğim bir şey yok bu konuda çünkü.

@onatweb; Geçmiş olsun umarım sorun nerden kaynaklı ise çözülür .Her şey açıklığa kavuşur sizin adınıza üzgünüz

Merhabalar,

Herkesten rica ediyorum, Açık olabileceğini düşündüğünüz, emin olduğunuz, şüphelendiğiniz yerleri bana iletmeniz. AutoVM'i azımsanmayacak firma kullanıyor ve AutoVM firması da desteğini kesmiş vaziyette.

@byberke; tespit ettiği bir yeri bana bildirdi. Beraber test ettik ve bahsettiği şey olmakta.

Yii2 framework'ünü güncelleyen firmalar, Yii2 yeni güncellemelerinde ->send() fonksiyonundan exit() fonksiyonunu kaldırmış durumda. Bu nedenle sorgu yanlış olsa bile sorguyu çalıştırmaya devam ediyor.

Bunun önüne geçebilmek için

https://drive.google.com/file/d/1ot5...ew?usp=sharing

bu dosyayı indirerek AutoVM ftp'nize atarak değiştirin.

Söz verdiğim gibi, bana iletilen yerlerde bakıp ivedi bir şekilde güncelleme getireceğim. AutoVM'in yapmadığı şeyi yapmaya hazırım. Bazı firmalar gibi açığın nerede olduğunu bilmeden, bu açık kapatılamaz deyip kestirip atacak, kurtulacak bir insan değilim. İş ahlakım bunu gerektiriyor.

Sorun yaşayanlara geçmiş olsun. Mevcut alt yapıyı iyileştirme çabalarınız ve karşılıksız emekleriniz için teşekkürler. @onatweb; Ancak ne olursa olsun autovm alt yapısına güvenmiyoruz. Çünkü birçok açık tespit edip kapattık. Çıkmayada devam ediyor. Açık kaynak ücretsiz paylaşılan yazılımlarda açıklar hızlı türer. Özellikle herşeyi dışarıya açık firmalar için bu kritik bir hata olur. Kestirip atacak arkadaşlar ben kullanırım sorun olmaz diye kendine güvenenler güvenlik önlemlerini iyi alsınlar. Bizde sıfırdan yeni bir yazılıma başladık ve autovm alt yapısını kullanmadan piyasaya sürüyoruz. Tamamen tercih meselesidir. Kullanmayı biz güvenlik gereği tercih etmiyor ve önermiyoruz. Sözüm meclisten dışarı ücretsiz kullanım sağlayanlar içindir. Geliştirip açıkları kapatan kişilere değildir. Bu işten kazanç sağlayacak kişi ve firmalar güvenlik için ellerinden ne geliyorsa yapmalıdır. Amatör autovm devrini kapatacağız kısa zamanda inşallah. Hayırlı akşamlar

Firmamızın başına gelen saldırı olayından bu yana Onatweb AutoVM ile ilgili açılmış olan hiçbir konuya yorum yapmadık, hakkımızı aramak yerine sadece susmakla yetinmemize rağmen bazı 2013 Metin2 oyun kankalarınız, firmamızı ve ihlalden etkilenen diğer firmaları bilgisizlik ve cahillikle suçladı, Onatweb AutoVM ile alakalı açık olamayacağını sorunun vCenter kaynaklı olduğunu beyan etti.

Ancak yapmış olduğunuz son güvenlik güncellemesinden sonra susmak yerine konuşma ihtiyacı duyduk. Çünkü tarafınıza 12 mayıs tarihinde ulaşıp VDS sunucularımızın kendi kendine suspend edildiğini, API keyin değişmesine bu sorunun devam ettiğini bildirdiğimizde telefonda firmamıza destek olamayacağınızı, sorunun OnatWeb AutoVM ile alakalı olmadığını biz taraflı olduğunu sert bir üslup ile ileterek telefonu kapattınız. Yaşamış olduğumuz soruna çözüm bulmak için @byberke; ANKSOFT adlı firma ile iletişime geçip sorunu beraber incelediğimizde başka bir lokasyonda bulunup aktif olarak kullanılmayan eski dataya ve API bilgilerine sahip olan WHMCS klon sunucumuzun API Key'e ihtiyaç duymadan yetkisiz erişim ile fatura tarihi geçen sunucuları suspend ettiğini belirledik.
Gelecek dönemlerde tekrardan firmaların OnatWeb AutoVM sebebiyle hack saldırılarına maruz kalmaması adına ben destek vermiyorum diyerek telefonu kapatmak yerine size söylenilen sorunları dinleyip güvenlik güncellemesi yapmaya devam etmeniz gerektiğini umarım anlayabilmişsinizdir.

Yaşamış olduğumuz hatayı çözmemizde desteğini esirgemeyen @byberke; AnkSOFT adlı firmaya burdan teşekkürlerimizi iletiyor, tüm forum halkına iyi forumlar diliyoruz.

Madem kurumsallıktan çıktık. Siz dedikodu yapmayı çok iyi biliyorsunuz. Ben sizin elinize su dökemem bu konuda. 20 tane firmaya AutoVM'den dolayı hacklendik diye yazıp bana tek bir kelime etmemeniz ve bu yazdığınız firmaların bana bu konu hakkında bilgilendirme yapması ne kadar büyük dedikoducu olduğunuzun kanıtı. Ben gene bu davranışınıza sessiz kalıp, gelip her türlü yardımcı oldum size. Yükünüzü hafifletmek için elimden ne geliyorsa yapmaya hazırım diye belirttim size. Bunu inkar edecek misiniz ?

Ben kimsenin yapmayacağı şeyi yaparak AutoVM'i güncelleme sorumluluğunu üstüme almışım. Herkesin içi rahat olsun diye tek şifreli olan dosyayı paylaşmışım. Gene tekrar herkesin içi rahat olsun diye iframesiz modülü tamamen dışarıya kapatmışım. Gene herkesin içi rahat olsun diye Yazılıma ip izinleri vermişim.

Bunları yapmak benim sorumluluğumda değil. Ben AutoVM'e sadece ek özellik ekledim, ve bunların satışını yaptım, başka bir şey yapmadım Bu eklediğim ek özelliklerde bir açık var mı ? . Sence ben, bunları yapmakla mükellef miyim ?

Senin yaşamış olduğun şey Vcenter'dan kaynaklı idi ve bu dediklerimin arkasındayım. SSH girişi yapmış, rm -rf yapmış vs. Söylediklerine o kadar çelişkiler var ki ağzımı açıp tek bir kelime etmedim sana. Çünkü sen, ben ne desem ama şöyle yapmıştık, ama böyle yapmıştık diyeceksin bana. Sizin ne yaptığınızı vs ben çok iyi biliyorum merak etme.

Ya arkadaş, Benim yaptığım iş AutoVM'e ek özellik eklemek ve bunun satışını yapmak. İnsan bir der Allah razı olsun yaptığın işin dışında sorumluluğun olmadığı halde sürekli güncelleme getirerek destek verdin bize diye.

Ama yok siz sınırsız lisanslı köle satın aldınız. Her şeyde gelip evet sahibem diye yardımcı olacağım size değil mi ? Bunu mu istiyorsunuz benden ?

Arkadaşım bana diyorsun ki, Whmcs suspend atıyor, modülden mi kaynaklı acaba ? diye bende sana diyorum ki hayır modülden kaynaklı değil. Whmcs modüldeki suspend fonksiyonunu kullanıyor, yani bu fonksiyonu çalıştıran Whmcs'nin kendisi. Benden ücretli destek talep ettiniz, bende veremeyeceğimi bildirdim. Bundan daha doğal bir şey olabilir mi ? Ne kadar çok çarpıtmayı seviyorsunuz olayları gerçekten.

Ben gerçekten size karşı izlediğim tutumda çok yanlış bir yol sergiledim. Size hiç yardımcı olmamam gerekiyordu. Yardım ettiğim için beni köleniz falan sandınız herhalde. Yazıklar olsun size. Gidip 800 TL ye başka bir köle bulun bundan sonra. Ben gene güncellemelerimi paylaşırım sizinle ama daha da muhatap olmayın benimle lütfen.

Dip Not : Benle bu kadar sorun yaşadığın için tekrar AutoVM kullanmaya başladın galiba değil mi ? Bu saydığınız işlemleri yapmak IT çalışanlarınızın görevi böyle olduğu halde benden destek alıyorsunuz daha ne bekliyorsunuz benden ?