Ders Çalışırken Modem Kırmak: İlk CVE Serüvenim (CVE-2026-6274)

Bazı insanlar konakladıkları yerin manzarasını, bazıları ise konforunu merak eder; bense Wi-Fi ağının güvenliğini... Bir kamu misafirhanesinde final sınavlarıma çalışırken aklıma takılan bir soru, hayatımın ilk CVE (Common Vulnerabilities and Exposures) numarasına dönüştü. Teknik merakımın ders çalışma isteğine yenildiği o gecenin hikayesini sizlerle paylaşmak istiyorum.

Hacker İçgüdüsü mü, Mesleki Deformasyon mu?

Mesleki deformasyon mu denir yoksa saf merak mı bilinmez; herhangi bir ortama (otobüs, uçak, otel, kafe, hatta vapur!) girdiğimde ilk yaptığım şey, oranın halka açık (public) Wi-Fi ağına bağlanmak ve bir "hacker" içgüdüsüyle neler yapabileceğimi denemektir. Amacım insanların güvenliğini riske atmak değil; tamamen teknik merak ve interneti daha güvenli bir yer haline getirme arzusudur.

O akşam da farklı değildi. Okulu uzattığım için kaldığım misafirhane odasında, benim gibi siber güvenlik meraklısı olan oda arkadaşımın da verdiği "gazla" birlikte, masanın üzerindeki ders notlarını bir kenara itip Wi-Fi ağını gözüme kestirdim.

Basit Bir Başlangıç: 192.168.1.1

Sıradan bir kullanıcı gibi Wi-Fi ağına bağlandım ve malum IP adresini tarayıcıma yazarak kurcalamaya başladım: 192.168.1.1. Wi-Fi kimlik doğrulaması sırasında bir "captive portal" (karşılama ekranı) olmayışı ve ağın tıpkı bir ev ağı gibi sadece şifreyle korunması, güvenliğin çok da sıkı olmadığını fısıldıyordu.

Modem arayüzüyle karşılaştığımda ilk akla gelen şeyi denedim ve maalesef işe yaradı: Kullanıcı adı ve parola ikilisi admin:admin olarak bırakılmıştı. Arayüze başarıyla erişmiştim. (Not: Lütfen bunu tekrar denemeye kalkmayın, zira modem arayüz şifresini bizzat değiştirdim.)

Klasik bir kullanıcı bu noktada özgüven tazelemiş bir şekilde gülüp işine devam edebilirdi; ancak ben tatmin olmamıştım. İçimden bir ses, daha derinlere bakmam gerektiğini söylüyordu. Modem, yerli bir marka olan Redline’ın WR3200 modeliydi.

"Kurabiyeler" Pişmemiş: Zayıf Kimlik Doğrulama

Önceki deneyimlerimden ve incelediğim CVE raporlarından biliyordum ki, bazı yerli üreticilerin eski modellerinde kimlik doğrulama mekanizmaları ciddi sıkıntılar içerebiliyordu. Hemen Burp Suite yazılımını açıp giriş (authentication) trafiğini incelemeye başladım.

POST /login isteğine doğru parolayı girdiğimde şaka gibi bir gerçekle karşılaştım: Sunucudan dönen cevapta herhangi bir session_id veya JWT token bulunmuyordu. Gelen cevap tam olarak şuydu:

Set-Cookie: user=admin&platform=1

Siber güvenlik altyapısı olmayanlar için durumu şöyle özetleyebilirim: Modem, "Sen bana doğru şifreyi verdin, al sana 'admin' yazılı bir etiket; bundan sonra bu etiketi gösteren herkesi yönetici kabul edeceğim," diyordu. Hemen gizli bir sekme açıp tarayıcıya bu çerez (cookie) bilgisini manuel olarak eklediğimde, kullanıcı adı ve parola girmeme gerek kalmadan modem arayüzüne tam erişim sağladım.

Teknik Bir Engel: IP Tabanlı Doğrulama

Kısa bir molanın ardından Python ile bir "exploit" kodu yazmaya başladım. Ancak her şey hazır görünmesine rağmen yazdığım kod çalışmıyordu; arayüze bir türlü erişemiyordum. Kodumda hata olduğunu, belki de gizli bir CSRF token veya Referer politikası bulunduğunu düşünüp algoritmayı defalarca revize ettim; ama nafile.

Uzun bir beyin fırtınasından sonra cevap gün gibi ortadaydı: Modem, sadece çerez değerine bakmıyor, aynı zamanda IP tabanlı doğrulama yapıyordu. Yani modem, doğru bir giriş yapıldığında o IP adresini belirli bir süreliğine "izin verilenler" listesine ekliyordu. Bu yüzden benim manuel denemelerim IP adresim aynı olduğu için çalışıyor, ancak farklı bir mantıkla gönderilen sorgular bazen takılıyordu.

"Try Harder": Zafiyeti Silahlandırmak

"Daha fazla dene" (Try harder) mottosuyla sürece devam ettim. Elimizde iki veri vardı:

user=admin&platform=1 çerezini vermeliyiz.
IP adresimizin daha önce "authenticate" (doğrulanmış) olması gerekiyor.

Burada karmaşık yöntemler denemek yerine daha basit bir sorunun peşine düştüm: Acaba IP doğrulaması tüm sayfalar için geçerli miydi?

En kritik endpoint olan "parola değiştirme" sayfasını denedim ve bingo! IP adresim doğrulanmamış olsa bile, sadece çerez bilgisiyle bu sayfaya POST isteği gönderebiliyordum. Yani ağdaki herhangi biri, hiçbir şifre bilmeden yönetici parolasını değiştirebilirdi. Exploit kodumu buna göre güncelledim ve USOM’un CVE programına başvurumu yaptım.

Hayal Kırıklığından Zafere

Başvurunun ardından veritabanında bir sorgulama yaptığımda, aynı model için 2023 yılında alınmış çok benzer bir CVE kaydı gördüm. Moralim bozulmuştu; onca emek boşa gitmiş gibi duruyordu. Red cevabı almayı bekleyerek geçen iki ayın sonunda, beklediğimden farklı bir maille uyandım: CVE numaram rezerve edilmişti! Benim kullandığım teknik ile 2023 yılında bulunan teknik farklıydı.

Hemen Redline firmasıyla iletişime geçtim, süreci USOM ile koordine ettiğimizi belirterek zafiyeti raporladım. Firma, sadece 2-3 gün içinde güvenlik açığını kapattıklarını bildiren bir güncelleme yayınladı. Bu onayın ardından CVE kaydım dünya literatürüne açık hale geldi.

Çıkarılması Gereken Dersler

Önce Araştır: Bir CVE araştırmasına başlamadan önce mevcut kayıtları sorgulama işini asla sona bırakma; sonunda üzülen sen olursun. 😄

Basit Düşün: "Bunu kesin düşünmüşlerdir, bu kadar basit bir hata olmaz," diyerek enseyi karartma; bazen en büyük kapılar en basit anahtarlarla açılır.

İnatçı Ol: Exploit kodun çalışmadığında vazgeçme. Başarıya ulaşmak için beynindeki her bir nöronun gücüne ve sabra ihtiyacın olacak.

Etik Ol: Bulduğun zafiyeti kötüye kullanmak yerine yetkili kurumlarla (CNA/USOM) paylaşarak "Sorumlu Bildirim" (Responsible Disclosure) ilkelerine uyun.

Teşekkür ve Güvenlik Uyarısı

Bu çalışma tamamen meraktan doğmuştur ve canlı hiçbir sisteme zarar verilmemiştir. Anlatılan yöntemlerin kötü niyetli kullanımıyla ilgili sorumluluk kabul etmediğimi belirtmek isterim.

Kullanıcılara Not: Redline WR3200 modem kullananların, güvenlikleri için firmware sürümlerini 7.1.8 veya üzerine güncellemeleri kritik önem taşımaktadır.

Teşekkür: CVE kaydındaki destekleri için USOM ekibine, hızlı aksiyon alan Redline ekibine, dırdırımı çeken oda arkadaşım Erkan Çekiç’e ve bu ortamı istemeden de olsa sunan adını açıklamayacağım konaklama tesisine teşekkür ederim.

Sonuç: O gece ders notlarımın yüzüne pek bakamadım, sınavdan da beklediğimden düşük aldım. Ancak şunu biliyorum: Diplomadaki notlar geçicidir; yıllar sonra o sınavı hatırlamayacağım bile. Fakat dünya literatürüne giren CVE-2026-6274 numarası ve kazandığım tecrübe, sonsuza kadar benimle kalacak.