CVE-2018-20250: WinRAR Absolute Path Traversal Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

WinRAR, dünya genelinde en popüler dosya sıkıştırma ve arşivleme yazılımlarından biridir. Ancak, 2018 yılında keşfedilen CVE-2018-20250 (WinRAR Absolute Path Traversal Zafiyeti), yazılımın ciddi bir güvenlik açığı barındırdığını ortaya koymuştur. Bu zafiyet, potansiyel olarak uzaktan kod yürütülmesine (Remote Code Execution - RCE) neden olabilmektedir. Kullanıcılar, zararlı kullanıcıların sisteme sızmasına ve kötü niyetli yazılımların çalıştırılmasına olanak tanıyacak dosyalar oluşturmasına maruz kalmaktadır.

Bu zafiyetin temelinde, WinRAR’ın arşivleme işlemi sırasında kullandığı bir kütüphanenin işleyişindeki hatalar yatmaktadır. Kütüphane, sıkıştırılmış dosyaların içindeki dosya yollarını doğru şekilde kontrol edememekte, böylece bir dosya yolunun üzerinde bir saldırganın manipülasyonu sonucu, başka bir dosyaya erişim sağlamak mümkün hale gelmektedir. Özellikle, "absolute path" (mutlak yol) geçişi, saldırganların hedef sistemdeki dosyalara erişmesini sağlamaktadır. Kullanıcılar, WinRAR aracılığıyla bir arşiv dosyasını açtıklarında, bu açık yüzünden saldırgan tarafından belirtilen zararlı dosyaların yedeklenen konumda çalıştırılması sağlanabiliyor.

Gerçek dünya senaryolarına bakacak olursak, birçok sektör bu zafiyetten etkilenmiştir. Özellikle finans, sağlık ve eğitim alanında faaliyet gösteren kurumlar, kullanıcılarının karşılaştığı potansiyel risklere maruz kalmışlardır. Örneğin, bir kullanıcı kötü niyetli bir arşiv dosyasını indirip açtığında, sistemine sızılabilir ve hassas verilere erişim sağlanabilir. Böyle bir durum, kullanıcıların kişisel bilgileri, kurum içi belgeleri veya müşteri verileri kötü amaçlı kişilerin eline geçmesine neden olabilir. Potansiyel bir saldırı, kullanıcının bilgisayarına uzaktaki bir kullanıcı tarafından kontrol edilen bir arka kapı (backdoor) yüklenmesiyle sonuçlanabilir.

Zafiyetin etkilerini en aza indirmek için, kullanıcıların sistemlerinde WinRAR’ın en güncel versiyonunu kullanmaları önem arz etmektedir. Yazılımın geliştiricisi RARLAB, bu açıkla ilgili düzeltilmiş bir sürüm yayımlamış ve kullanıcıların güvenliklerini artırmalarını sağlamıştır. Ancak, hala eski sürümleri kullanan kullanıcılar için risk devam etmektedir. Ayrıca, kullanıcıların güvenilir olmayan kaynaklardan dosya indirmemeleri, e-posta eklerini dikkatlice incelemeleri ve şüpheli arşiv dosyalarını açmamaları gerekmektedir.

Son olarak, CVE-2018-20250 zafiyeti, kullanıcıların risklerini anlamaları ve siber güvenlik tehditlerine karşı proaktif bir yaklaşım benimsemeleri gerektiğinin bir göstergesidir. Web’de sıklıkla görülen phishing (oltalama) saldırıları ve kötü niyetli yazılımlar, bu tür zafiyetlerden faydalanarak hedef kullanıcıları manipüle edebilir. Bu nedenle, bilinçli kullanıcı davranışları ve güncel güvenlik yazılımları kullanmak, siber tehditlere karşı en etkili savunmanın temel taşlarını oluşturmaktadır.

Teknik Sömürü (Exploitation) ve PoC

WinRAR, birçok kullanıcı tarafından tercih edilen bir dosya sıkıştırma ve arşivleme yazılımıdır. Ancak, CVE-2018-20250 olarak bilinen bir güvenlik açığı, bu yazılımın kullanıcıları için ciddi bir tehdit oluşturuyor. 'Absolute Path Traversal' (Mutlak Yol Geçişi) zafiyeti, saldırganların kötü niyetli dosyaları kullanıcının sistemine zararlı bir şekilde yerleştirmesine ve bu dosyalar üzerinden uzaktan kod çalıştırmaya (Remote Code Execution - RCE) olanak tanır. Bu tür bir güvenlik açığı, özellikle bir ağ üzerinde birçok kullanıcıyla çalışan sistemlerde oldukça tehlikeli olabilir.

Sömürü süreci genellikle aşağıdaki adımları içerir:

İlk adım, WinRAR'ın etkilenen versiyonlarını belirlemektir. WinRAR 5.6'dan önceki sürümler, bu zafiyetten etkilenmektedir. Saldırgan, bir hedefe zarar vermek için bu yazılımın kullanılmakta olduğundan emin olmalıdır.

İkinci aşamada, bir hedef dosya oluşturarak mutlak yol geçişi gerçekleştirilecektir. WinRAR, ZIP dosyalarının içinde bulunan dosyaları sıkıştırırken, bazı durumlarda dosya yollarını değiştirmeden sıkıştırma işlemi yapar. Bu özellik, kötü niyetli bir kişi tarafından istismar edildiğinde, dosya arşivinin dışındaki sistem dosyalarına erişim sağlanabilir. Aşağıdaki örnek kod, zafiyeti sömürmek için kullanılacak ZIP dosyasını oluşturmada yardımcı olacaktır:

import zipfile

# ZIP dosyası oluşturma
with zipfile.ZipFile('exploit.zip', 'w') as zip_file:
    zip_file.write('payload.exe', arcname='\\..\\..\\..\\..\\..\\..\\..\\..\\windows\\system32\\cmd.exe')

Üçüncü adımda, bu ZIP dosyası hedef sisteme iletilmelidir. Saldırgan, dosyayı hedef kullanıcıya e-posta ile gönderebilir veya bir web sunucusuna yükleyip hedef kişinin bu dosyayı indirmesini sağlayabilir. Kullanıcının bu dosyayı açtığında, WinRAR, dosya yolunu göz ardı ederek zararlı kodu çalıştıracaktır.

Dördüncü adım, kullanıcı dosyayı açtığında gerçekleşecek olan zararlı kodun tetiklenmesidir. Bu senaryoda, bir komut dosyası veya bir payload (yük) kullanılabilir. Aşağıdaki örnek, sistem üzerinde kod çalıştırmak için kullanılan bir komutu göstermektedir:

cmd.exe /c echo Hello World &gt; C:\infected.txt

Bu komut, hedef sistemde bir metin dosyası oluşturacak ve "Hello World" mesajını bu dosyaya yazacaktır.

Son olarak, yapılan işlem sonrasında sistemin güvenliğini sağlamak ve bu tür zafiyetlere karşı önlem almak oldukça önemlidir. Kullanıcıların, WinRAR gibi yazılımları güncel tutması, üçüncü taraf kaynaklardan gelen dosyalara dikkat etmesi ve güvenilir olmayan bağlantılardan uzak durması gerekmektedir. Ayrıca, sistem yöneticileri, ağda bu tür zafiyetlerin istismarını önlemek için güncel anti-virüs yazılımları kullanmalı ve kullanıcı eğitimleri düzenlemelidir.

Bu tür bir zafiyetin sonuçları oldukça ciddi olabilir. Sadece veri kaybı değil, aynı zamanda sistemlerin kontrolünü kaybetme riski de bulunmaktadır. Bu nedenle WinRAR veya benzeri yazılımlardaki güvenlik güncellemeleri her zaman dikkate alınmalıdır. CyberFlow platformu, bu tür güvenlik açıklarını tespit etme ve önleme konusunda kullanıcılarına destek olmayı hedeflemektedir.

Forensics (Adli Bilişim) ve Log Analizi

WinRAR, dünya genelinde en yaygın kullanılan dosya sıkıştırma yazılımlarından biridir. Ancak, 2018 yılında keşfedilen CVE-2018-20250 güvenlik açığı, bu popüler yazılımın ciddi bir güvenlik sorununa neden olmasına yol açmıştır. Bu zafiyet, saldırganların sistemde uzaktan kod çalıştırmasına (Remote Code Execution, RCE) olanak tanımaktadır. WinRAR’ın Absolute Path Traversal (Mutlak Yol Traversal) zafiyeti, özellikle kullanıcıların sıkıştırılmış dosyaları çıkartırken güvenlik zaafiyeti yaratır.

Bu açığın nasıl işlediğini anlamak için, WinRAR'ın sıkıştırılmış dosyaları nasıl işlemesine bakalım. Saldırgan, kötü amaçlı bir ZIP veya RAR dosyası oluşturarak, içindeki dosya yolunu manipüle edebilir. Dosyanın içindeki yazım şemasını kullanarak, zararlı kodun hedef sistemde istenen bir konuma yazılmasını sağlayabilir. Örneğin, zararlı bir dosya, C:\Windows\System32\ gibi kritik bir dizine yüklenebilir. Kullanıcı dosyayı çıkarttığında, bu dosya yolunu takip ederek kötü amaçlı kod sistemde çalıştırılabilir.

Siber güvenlik uzmanları, bu tür bir saldırının tespit edilmesi için bazı önemli adımlar atmalıdır. SIEM (Security Information and Event Management) sistemleri ve log analizleri, potansiyel saldırıları tespit etmek için kritik öneme sahiptir. Örneğin, Access log’ları ve Error log’ları üzerinde dikkatli bir inceleme yaparak, olağandışı aktiviteleri tespit etmek mümkündür.

Log içerisinde aranan bazı imzalar şunlardır:

Olağandışı Dosya İsimleri & Uzantılar: Loglarınızda sıkıştırılmış dosyalarla ilgili (örn. .zip, .rar) beklenmedik dosya uzantıları veya isimleri gördüğünüzde dikkatli olmalısınız. Örneğin, bir dosyanın "sapık.txt" yerine "a.exe" gibi bir uzantıya sahip olması durumunda bu şüphe uyandırabilir.
Dosya Yollarındaki Anomaliler: Sıkıştırılmış dosyaların içindeki dosya yollarını izleyin. Bir dosya yolunun mutlak bir yol içermesi (örn. C:\Windows\System32\malware.exe) kritik bir göstergedir. Kullanıcıların genellikle dosyaları belirli bir dizinde çıkarttıklarını görmek, şartlarla çelişen dosya yolları tespit ettiğinizde zafiyet ihtimalini artırır.
Hatalı Çıkarma Girişimleri: WinRAR veya diğer sıkıştırma yazılımları hata vermeden dosyaları çıkarmaya çalıştığında kaydedilen loglar, saldırı bulgularını belirlemede faydalı olacaktır. Örneğin, "Hata: Dosya çıkartılamadı" gibi ifadeler, potansiyel bir saldırının belirtisi olabilir.
Yükleme İfadeleri: Kötü amaçlı bir yazılımın yüklendiği durumlarda, özellikle System32 gibi dizinlere erişim sağlandığında, sistem loglarında bunun belirtileri görünür. Bu tür ifadelerin görünmesi, ihlal durumlarının açık bir göstergesi olabilir.

Saldırganın sistem üzerindeki aktiviteleri, SIEM çözümleri kullanılarak belirli bir süre boyunca gözlemlenmeli ve analiz edilmelidir. Log dosyalarındaki bu tür imzaların izlenmesi, potansiyel bir ihlali erkenden tespit etmek ve gerekli önlemleri almak için son derece önemlidir. Gelişmiş bir olay yanıtı süreci, bu tür saldırıların etkisini azaltmak ve sisteminizin güvenliğini korumak adına hayati öneme sahiptir.

Sonuç olarak, CVE-2018-20250 zafiyeti, WinRAR kullanıcıları için ciddi bir güvenlik tehdidi oluşturduğundan, uzmanların log analizi ve SIEM araçları ile detaylı ve sürekli bir izleme yapmaları elzemdir. Kötü niyetli aktörlerin sistemde uzaktan kod çalıştırabilme riskini minimize etmek, siber güvenlik önlemlerinin öncelikli noktasında yer almalıdır.

Savunma ve Sıkılaştırma (Hardening)

WinRAR, popüler bir dosya sıkıştırma yazılımıdır ve bir dizi kullanıcı tarafından yaygın bir şekilde kullanılmaktadır. Ancak CVE-2018-20250 olarak bilinen "Absolute Path Traversal" (Nispeten Çizgi Aşımı) zafiyeti, bu yazılımın güvenlik açıklarından biri olup, uzaktan kod yürütmeye (Remote Code Execution - RCE) yol açabilmektedir. Kötü niyetli bir saldırgan, özel dizinlere erişmek için WinRAR'ın dosya alma işlevini manipüle ederek sistem üzerinde istenmeyen işlemler gerçekleştirebilir. Bu tür bir zafiyetten korunmak, siber güvenlik savunma (hardening) stratejilerinin önemli bir parçasıdır.

Bir senaryo düşünelim: Bir çalışan, e-posta yoluyla gelen bir ZIP dosyasını WinRAR ile açar. ZIP dosyası, içerisine gizlenmiş kötü niyetli bir RAR dosyası da içerebilir. Kullanıcı, dosyayı açarak aslında sistemde bulunan kritik dosyalara ve dizinlere erişim sağlayabilir. Saldırgan, bu yöntemi kullanarak sistem üzerinde komutlar çalıştırmakta ve sonuç olarak RCE elde edebilir.

WinRAR'daki zafiyeti kapatmanın birkaç yolu bulunmaktadır. Öncelikle, WinRAR’ın en güncel sürümünü kullanmak büyük önem taşımaktadır. Çünkü kullanıcıların güncellemeleri takip etmemesi durumunda, bu tür zafiyetlere maruz kalma riski artmaktadır. Yazılım güncellemeleri, güvenlik açığı düzeltmelerini genelde içerir ve bu nedenle periyodik olarak güncellenmelidir.

Buna ek olarak, alternatif bir yaklaşım olarak uygulama güvenlik duvarı (Web Application Firewall - WAF) kuralları uygulamak da faydalı olabilir. Özellikle, dosya yükleme ve indirme işlemlerini denetleyen WAF kuralları kullanabilirsiniz. Örneğin, aşağıdaki WAF kuralı, WinRAR'a yüklenen veya indirilen dosyaların doğru bir şekilde filtrelenmesini sağlamak için kullanılabilir:

SecRule REQUEST_FILENAME "\.(exe|bat|cmd|sh)$" "id:1001,phase:2,deny,status:403,msg:'Kötü niyetli dosya yüklemesi engellendi.'"

Bu kural, yalnızca belirli dosya uzantılarının yüklenmesine izin verir ve riski minimize eder.

Kalıcı sıkılaştırma (hardening) açısından, sadece yazılım güncellemelerini takip etmekle kalmayıp, aynı zamanda kullanıcı eğitimleri de sağlanmalıdır. Çalışanlar, e-posta eklerini açarken nelere dikkat etmeleri gerektiği konusunda bilgilendirilmelidir. Özellikle, güvensiz kaynaklardan gelen dosyalara karşı temkinli olmaları gerektiği vurgulanmalıdır.

Ayrıca, sistem yöneticileri için düzenli olarak sızma testleri (penetrasyon testleri) yapılması önerilir. Bu testler, mevcut güvenlik açıklarını ve zafiyetleri tespit ederek, riskleri daha iyi yönetebilmek adına alınacak önlemler konusunda bilgi verir.

Son olarak, sistemler üzerinde erişim kontrollerinin de gözden geçirilmesi gerekmektedir. Kullanıcıların yalnızca ihtiyaçları doğrultusunda yetkilendirilmesi ve gereksiz izinlerin kaldırılması, potansiyel bir saldırının etkisini azaltabilir. Kullanıcı tabanında uygulanan izolasyon teknikleri ile sistemlerin güvenliği artırılabilir.

Bu tür önlemler ve teknikler, WinRAR’ın CVE-2018-20250 zafiyetine karşı güçlü bir savunma hattı oluşturulmasına yardımcı olacaktır. Siber güvenlikte her zaman dikkatli olunmalı ve proaktif yaklaşımlar benimsenmelidir.