CVE-2017-0037: Microsoft Edge and Internet Explorer Type Confusion Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2017-0037, Microsoft Edge ve Internet Explorer'da yer alan kritik bir zafiyettir. Bu zafiyet, mshtml.dll dosyasında meydana gelen bir tür 'type confusion' (tip karışıklığı) hatasından kaynaklanmaktadır. Hatanın etkisi, uzaktan kod yürütme (RCE - Remote Code Execution) imkanını sağlayarak kötü niyetli kullanıcıların etkili bir biçimde sistemlerini ele geçirebilmelerini mümkün kılmaktadır. 2017 yılının başlarında keşfedilen bu zafiyet, Microsoft'un organizasyonel güvenlik süreçleri açısından önemli bir dönüm noktası olmuştur.

Type confusion zafiyeti genel olarak, bir değişkenin beklenen türüyle uyuşmaması durumunda ortaya çıkar. mshtml.dll dosyası, Microsoft’un tarayıcılarında HTML içeriğini işlemek için kullanılmaktadır. Bir saldırgan, bu zafiyeti hedef alarak, değişkenleri manipüle edebilir ve ardından sistem üzerinde yetkisiz kod çalıştırabilir. Bu durum, yalnızca kullanıcıların kişisel verilerine değil, aynı zamanda daha büyük organizasyonların ağlarına yönelik tehlikeler oluşturabilir.

Zafiyetin keşfi ile birlikte, birçok sektör özellikle finans, sağlık ve e-ticaret alanlarında bu tehditten etkilenmiştir. Bu alanlar, sık sık tarayıcı üzerinden bilgi akışının gerçekleştirildiği ve kullanıcıların hassas verilerinin işlendiği yerlerdir. Örneğin, bir banka müşterisinin Internet Explorer üzerinden çevrimiçi bankacılık işlemleri yaptığı sırada, bir saldırgan bu zafiyeti kullanarak oturumunu ele geçirebilir. Benzer şekilde, bir sağlık kuruluşu da hastalarının bilgilerini yöneten sistemde bu tür bir saldırıya maruz kalabilir.

Gerçek dünya senaryolarında, zafiyetin istismar edilmesi oldukça basit olabilmektedir. Bir saldırgan, sahte bir web sayfası oluşturarak, kullanıcının bu sayfayı ziyaret etmesini sağlayabilir. Tarayıcıda etkileşime geçildiği takdirde, mshtml.dll üzerindeki tip karışıklığından faydalanarak, kullanıcı bilgisayarında kötü niyetli kodu çalıştırabilir. Aşağıda, böyle bir istismar sürecinin örneği verilmiştir:

&lt;script&gt;
  var x = "Hello";
  var y = { prop: "World" };
  // Burada bir tip karışıklığı yaratılıyor
  y.prop = x;
  // İstenmeyen kodu çalıştırmak için kullanılır
  eval(y.prop);
&lt;/script&gt;

Bu tür bir saldırı, sadece kullanıcıya değil, ayrıca kullanıcıların bağlı olduğu ağdaki diğer sistemlere de büyük tehditler oluşturabilir. Özellikle, çalışanların ağı üzerinden hassas bilgilere erişim sağlanması, şirketin siber güvenlik duvarlarını aşarak veri sızıntılarına neden olabilir.

CVE-2017-0037 zafiyetinin ciddiyetine kurban gitmemek adına, kullanıcıların tarayıcı güncellemelerini sürekli takip etmeleri ve güvenlik yamalarını zamanında yüklemeleri hayati önem arz etmektedir. Ayrıca, bu tür zafiyetlere karşı tetikte olmak ve güvenlik yazılımlarını etkin şekilde kullanmak, bireylerin ve kurumların karşılaştığı tehditlerle başa çıkabilmesi için alınacak önemli önlemler arasında yer almaktadır.

Sonuç olarak, CVE-2017-0037 gibi zafiyetler, etki alanı geniş ve çeşitli olabilen, tüm internet kullanıcılarını doğrudan etkileyebilen kritik açılardır. Bu nedenle, White Hat hacker olarak, bilgilendirme ve farkındalık artırma çalışmaları yapmak, bu tür zafiyetlere karşı en etkili savunmayı oluşturmanın anahtarıdır.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Edge ve Internet Explorer, kullanıcıların internet üzerinde güvenli bir deneyim yaşamalarını sağlamak amacıyla tasarlanmış popüler web tarayıcılarıdır. Ancak, bu tarayıcılarda bulunan CVE-2017-0037 kodlu güvenlik açığı, bir "type confusion" (tip karışıklığı) zafiyeti olarak bilinen bir sorunun sonucunda ortaya çıkmıştır. Bu zafiyet, mshtml.dll dosyasında bulunuyor ve uzaktan kod çalıştırılmasına (RCE - Remote Code Execution) olanak tanıyor.

Bir güvenlik araştırmacısı ya da beyaz şapkalı hacker olarak, bu zafiyetin sömürü aşamalarını anlamak ve potansiyel tehditleri önceden belirlemek büyük önem taşır. İlk adım, açık hakkında bilgi toplamak ve bunun nasıl çalıştığını anlamaktır. Söz konusu zafiyet, bir tarayıcıda yetersiz tür denetimi nedeniyle meydana geliyor. Bu durum, attacker’ın belirli durumlarda bellek üzerinde kontrol sağlamasına olanak tanır. Bunu anladıktan sonra, ilk adım olarak bir Proof of Concept (PoC) oluşturmak önemlidir.

Sömürü süreci genel hatlarıyla şu şekillerde ilerler:

Zafiyetin İncelenmesi: CVE-2017-0037, mshtml.dll'deki bir tip karışıklığı nedeniyle uzaktan kod çalıştırma riski taşıyor. Tarayıcının belirli durumları işlerken, hatalı tür denetimleri nedeniyle bellek sızıntıları ve yığın taşmaları (buffer overflow) gibi sorunlar ortaya çıkabiliyor.
Hedef Ortamın Hazırlanması: Sömürü gerçekleştirmek için hedef kullanıcının en az bir kez kötü amaçlı içeriği içeren bir web sayfasını ziyaret etmesi gerekmektedir. Bu nedenle, kullanıcıların özellikle şüpheli içeriklere tıklamaları teşvik edilmelidir. Ayrıca, tarayıcıların güncel olup olmadığını kontrol etmek de önemli.
Kötü Amaçlı Yükün Hazırlanması: Exploit’in kırılgan kısmı uzaktan kontrolü sağlayacak kötü amaçlı yükü yaratmaktır. Örneğin, JavaScript kullanarak mshtml.dll üzerinde bir dizi işlev çağrısı yapabilirsiniz. İşte basit bir örnek:

var vulnerableArray = new Array();
var buffer = new Array(1000);
for (var i = 0; i &lt; 1000; i++) {
    vulnerableArray[i] = i;
}
vulnerableArray[1000] = buffer;  // Hedef bellek üzerinde bir tür karışıklığı yaratma

HTTP İsteği Gönderme: Kötü amaçlı yükü hedef kullanıcıya göndermek için uygun bir HTTP isteği hazırlamak gerekiyor. Bunun için, bir web sunucusunda kötü niyetli kodu barındıran bir sayfa oluşturabiliriz. Aşağıda basit bir HTTP isteği örneği verilmiştir:

GET /malicious_page.html HTTP/1.1
Host: target-site.com
User-Agent: Mozilla/5.0

Sonuçların Değerlendirilmesi: Hedef kullanıcı sayfayı ziyaret ettiğinde, eğer exploit başarılı olursa, mshtml.dll üzerinden bellek üzerinde kontrol sağlamak mümkün olacaktır. Bu aşamada, attacker’ın kendi kodunu çalıştırabileceği bir ortam yaratılmış olur.

Bu aşama, tip karışıklığı zafiyetinin sömürülmesi açısından kritik bir önem taşır. Zafiyetin suistimalleri, kullanıcıların mahremiyetini tehlikeye atabilecek potansiyele sahip olduğu için özellikle organizasyonların bu tür zafiyetlere karşı dikkatli olmaları, önleyici tedbirler alması gerekmektedir.

Unutulmamalıdır ki, bu tür teknik içerikler yalnızca eğitim amaçlıdır ve kötü niyetli kullanım durumları için asla teşvik edilmemektedir. Beyaz şapkalı hackerlar olarak, zafiyetleri anlama ve bunlara karşı güvenlik önlemleri geliştirme ile ilgileniyoruz.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2017-0037, Microsoft Edge ve Internet Explorer'da bulunan bir type confusion (tip karmaşası) zafiyetidir. Bu zafiyet, kötü niyetli bir saldırganın mshtml.dll dosyası üzerinden uzaktan kod yürütmesi (RCE - Remote Code Execution) için kullanılabilmektedir. Her ne kadar bu zafiyet 2017 yılında keşfedilmiş olsa da, günümüzde hâlâ etkilerini sürdüren benzer zafiyetlerin varlığı göz önüne alındığında, bu tür açıkların nasıl tespit edileceği ve bunların log analizlerinde gözlemlenebilecek izlerin nedir, siber güvenlik uzmanları için önemli bir konu oluşturmaktadır.

Siber güvenlik uzmanları, bir sistemde bu tür zafiyetlerin kullanılıp kullanılmadığını tespit etmek için belirli anahtar kelimelere ve log imzalarına odaklanmalıdır. Öncelikle, log dosyalarını incelemeden önce, siber güvenlik araçlarının ve SIEM (Security Information and Event Management) sistemlerinin kullanımı büyük bir önem taşımaktadır. SIEM sistemleri, çeşitli veri kaynaklarından gelen logları toplayarak analiz eder. Bu bağlamda, erişim logları (Access log) ve hata logları (Error log), saldırının gerçekleşme ihtimaline dair kritik bilgiler sunar.

Zafiyetin keşfedilmesi sırasında, özellikle dikkat edilmesi gereken log türleri şunlardır:

Yetkisiz Erişim Denemeleri: Log dosyalarında, kullanıcıların sistem kaynaklarına izinsiz erişim denemelerine dair kayıtların bulunup bulunmadığını kontrol edin. Bu tür izler genellikle olağan dışı ya da şüpheli IP adresleri tarafından gerçekleştirilir.
Yüksek Erişim Süresi: Uzun süren erişim oturumları, kötü niyetli bir faaliyet belirtisi olabilir. Kullanıcıların normalden daha fazla süreyle oturum açık tutması, tip karmaşası zafiyetinin kullanımıyla ilgili bir gösterge olabilir.
Hata Mesajları: Hata loglarındaki olağan dışı mesajlar, özellikle mshtml.dll dosyasının hatalı çalıştığına dair bilgiler içerebilir. Bu tür hatalar, saldırganların kod yürütme işlemleri sırasında meydana gelen hatalara işaret edebilir.
Kötü Amaçlı Yazılım İmzası: Elde edilen loglarda, bilinen kötü amaçlı yazılım imzalarına veya alışılmadık dosya yüklemelerine dikkat edin. Özellikle JavaScript tabanlı veya HTML ile ilişkili dosyalar üzerinde yoğunlaşın.

Ayrıca, belirli log imzaları (signature) tespit edilebilir. Örneğin, log dosyalarında “mshtml.dll” ifadesinin geçtiği veya dosya ile ilişkili yüklemelerin yer aldığı kayıtlar, izlenmesi gereken önemli işaretlerdendir. Aşağıdaki gibi bir kayıt, potansiyel bir saldırıya işaret edebilir:

[ERROR] mshtml.dll: Invalid operation at memory address 0x00400000

Amaç, bu tür izleri tespit ederek olası bir saldırıyı erken aşamada fark etmektir. Kötü niyetli aktivitelerin kaynağını saptamak ve gerekli önlemleri almak için log analizi çalışmaları sürekli olarak güncellenmeli ve geliştirilmeli. İçerik analizi (Content Analysis) yönteminin yanı sıra, kullanıcıların nasıl davrandığını anlayabilmek için anomalilerin tespiti de önemli bir bileşen haline gelmektedir.

Sonuç olarak, CVE-2017-0037 gibi zafiyetler için etkili bir log analizi ve forensics (adli bilişim) çalışması, siber güvenlik profesyonellerinin elinde güçlü bir silah olmaktadır. Uzmanların bu tür izleri tespit etme becerisi, kurumların güvenliğini sağlamaya yönelik önemli bir katkı sağlayacaktır.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Edge ve Internet Explorer üzerindeki CVE-2017-0037 zafiyeti, mshtml.dll dosyasında bir tür karışıklığı (type confusion) içermektedir. Bu zafiyet, saldırganların uzaktan kod yürütmesine (remote code execution - RCE) olanak tanır ve bu durum potansiyel olarak sistemin tamamen ele geçirilmesine neden olabilir. Özellikle kurumsal ortamlarda bu tür zafiyetlerin hızlı bir şekilde tespit edilmesi ve düzeltilmesi son derece önemlidir.

Bu tür zafiyetlerin önlenmesi adına bir dizi önlem almak gereklidir. Öncelikle, sistemler üzerinde yamanmış (patched) güncellemelerin uygulanması kritik önem taşır. Microsoft, bu tür zafiyetleri kapatmak için düzenli olarak güvenlik güncellemeleri yayınlamaktadır. Bu güncellemeleri takip etmek ve sistemlerdeki tüm yazılımları güncel tutmak, ilk adım olarak öne çıkar.

Firewall (güvenlik duvarı) ve Web Uygulama Güvenlik Duvarı (WAF) kullanımı da siber güvenlik stratejisinin önemli bir parçasını oluşturur. Yalnızca ağ trafiğini kontrol etmekle kalmayıp, aynı zamanda dosyaların ve uygulamaların davranışlarını da analiz edebilen gelişmiş WAF kuralları oluşturulmalıdır. Örneğin, aşağıdaki gibi özelleştirilmiş kurallar, zararlı isteklerin önüne geçmesine yardımcı olabilir:

{
  "rule_id": "CVE-2017-0037-Protection",
  "description": "CVE-2017-0037 için koruma",
  "conditions": {
    "request": {
      "method": "POST",
      "url": "*mshtml.dll*"
    }
  },
  "actions": {
    "block": true,
    "log": true
  }
}

Yukarıdaki JSON formatındaki kural, mshtml.dll dosyasına yönelik POST isteklerini engelleyerek potansiyel bir RCE saldırısını önlemeye yardımcı olur. Aynı zamanda, sistem logları tutulması, böylece gereksiz yere açığa çıkabilecek bilgilere erişimin önüne geçilir.

Kalıcı sıkılaştırma (hardening) önerileri arasında, sistemlerinize yalnızca gerekli olan yetkilerin verilmesi ve belirli hizmetlerin devre dışı bırakılması da vardır. Örneğin, Microsoft Edge ve Internet Explorer üzerindeki gereksiz eklentileri ve bileşenleri kaldırarak yüzey alanınızı (attack surface) azaltabilirsiniz. Böylece saldırganların exploit (istismar etme) fırsatlarını minimum seviyeye indirmiş olursunuz.

Son olarak, güvenlik duvarı kurallarının yanı sıra, kullanıcı eğitimleri de siber güvenlik stratejisinin kritik bileşenlerindendir. Özellikle içerik filtreleme, e-posta güvenliği ve güvenli web tarayıcı kullanımı hakkında çalışanlarınıza yapacağınız eğitimler, bu tür zafiyetlerin fazladan kapı araladığını bilmeden sistemlerini tehdit edebilecekleri hakkında farkındalığı artırır.

Birçok kurumsal yapı, siber tehditler karşısında savunmasız kalmaktadır. Ancak, bu tür zafiyetleri önlemek için etkili önlemler alarak, sistemlerinizi korumak mümkündür. Unutulmamalıdır ki, güvenlik bir süreçtir; sadece bir seferde uygulanan işlemler yeterli olmayabilir. Sürekli izleme ve güncellemelerle bu tehditlerin efektif bir şekilde önüne geçilmelidir.