CVE-2018-8174: Microsoft Windows VBScript Engine Out-of-Bounds Write Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2018-8174, Microsoft Windows işletim sisteminde yer alan VBScript motorunda tespit edilmiş bir "Out-of-Bounds Write" (sınır dışı yazma) zafiyetidir. Bu zafiyet, uzaktan kod yürütme (RCE) riskini taşır ve kötü niyetli bir saldırganın hedef bilgisayarda komutlar çalıştırmasına olanak tanır. Söz konusu güvenlik açığı, sistemdeki nesnelerin bellek yönetimi sırasında hata yapması nedeniyle ortaya çıkmaktadır. Bu durum, özellikle ince bağlantılı ve iç içe geçmiş nesnelerin kullanıldığı senaryolarda kritik bir güvenlik açığı oluşturur.

Zafiyetin tarihçesi, 2018 yılının Nisan ayında Microsoft tarafından yayımlanan bir güvenlik güncellemesi ile başlamaktadır. Bu güncelleme, kullanıcıların ve sistem yöneticilerinin bu zafiyetten etkilenmemesi için gerekli önlemleri almasına olanak sağlamakta idi. Ancak, zafiyetin keşfi sonrası, özellikle kötü niyetli saldırganlar arasında bu açığı kullanma girişimlerinin artması dikkat çekti. Zafiyetin etkisi dünya genelinde pek çok sektörü etkiledi; sağlık, finans, eğitim gibi kritik alanlar başta gelmektedir.

CVE-2018-8174 zafiyetine neden olan hata, VBScript motorunun nesne yönettiği kısımlardaki bellek yönetimi ile ilgilidir. Bu hatanın başlıca etkisi, bellek yönetiminin düzgün bir şekilde sağlanamaması olduğundan, bu durum kullanıcıların sistemlerine kötü amaçlı yazılımların yüklenmesine olanak tanımaktadır. Kötü niyetli bir saldırgan, bir web sayfası veya bir uygulama aracılığıyla bu açığı kullanarak hedef sisteme zararlı kodları yerleştirebilir.

Gerçek dünya senaryoları açısından, bu zafiyet internet üzerinden yayılan fidye yazılımlarında kullanılabilmektedir. Örneğin, bir kullanıcı, zararlı bir internet sitesini ziyaret ettiğinde veya sahte bir e-posta üzerinde bulunan bağlantıya tıkladığında, bu güvenlik açığını tetikleyen kodlar devreye girebilir. Kullanıcı farkında olmadan, sistemine zararlı yazılımlar yüklenebilir ve bu durum sonucunda tüm dosyaları şifrelenebilir, kullanıcı kimlik bilgileri çalınabilir veya cihaz üzerinde yetkisiz erişim sağlanabilir.

Bir diğer önemli husus ise, CVE-2018-8174 zafiyetinin zararlı yazılım geliştiricileri tarafından kullanılabileceği şekillerdir. Saldırganlar, hedef sistemin savunmasız olduğu noktaları tespit ettikten sonra bu açığı kullanarak, hedef sistemde uzaktan komut yürütme yeteneği kazanabilirler. Özellikle şirketlerde, çalışanların e-posta veya internet kullanımı sırasında bu tür bir zafiyetin varlığı durumunda, büyük veri kayıpları ve maddi zararlar oluşma ihtimali bulunmaktadır.

Sonuç olarak, CVE-2018-8174 zafiyeti, Microsoft Windows işletim sistemlerinde kritik bir güvenlik açığıdır. Bu tür zafiyetlerin etkileri oldukça geniş bir yelpazeye yayılmakta ve dünya genelinde çeşitli sektörleri tehdit etmektedir. Bu bağlamda, güncel yazılımların ve güvenlik yamalarının düzenli olarak uygulanması büyük bir önem taşımaktadır. Kullanıcıların bilinçli davranışı ve güvenlik alanında alınacak önlemler, bu tür zafiyetlerin etkilerini azaltmak için hayati öneme sahiptir.

Teknik Sömürü (Exploitation) ve PoC

CVE-2018-8174, Microsoft Windows işletim sisteminde bulunan bir VBScript motoru zayıflığı olarak bilinir. Bu zayıflık, uzaktan komut çalıştırma (RCE - Remote Code Execution) potansiyeline sahip olup, kötü niyetli bireylerin sistem üzerinde yetki kazanmasını sağlayabilir. Bu makalede, zayıflığın nasıl istismar edilebileceğine dair bir yol haritası oluşturacak ve gerçek dünya senaryolarına dayanan bir teknik eğitim sunacağız.

VBScript motoru, Microsoft'un internet tarayıcılarında (özellikle Internet Explorer) ve Windows tabanlı uygulamalarda sıkça kullanılan bir betik dilidir. CVE-2018-8174, bu motorun bellek yönetimini yanlış bir şekilde ele alması sonucu ortaya çıkar. Saldırganlar, özelleştirilmiş bir bellek alanına yazma işlemleri gerçekleştirerek sistem üzerinde zararlı kod çalıştırabilirler.

Bu zayıflığı istismar etmek için aşağıdaki adımları izleyebilirsiniz:

Hedef Analizi: Hedef sistemin Windows işletim sistemini çalıştırdığından emin olun. Özellikle Internet Explorer gibi VBScript motorunu kullanan uygulamalar hedef alınmalıdır. Hedefin güvenlik güncellemelerinin yüklü olup olmadığını kontrol edin.
İstenilen Payload'ı Hazırlama: Kötü niyetli bir kod veya istemci tarafında çalışabilen bir payload hazırlamanız gerekiyor. Örneğin, aşağıdaki payload, hedef sistemde belirli bir komutu çalıştırabilir:

   &lt;script&gt;
   var obj = new ActiveXObject("WScript.Shell");
   obj.Run("cmd.exe /c calc.exe", 0, true);
   &lt;/script&gt;

Zayıflığı İstismar Etme: Kötü niyetli betiği bir web sayfasına yerleştirin veya bir e-posta ile gönderin. Kullanıcı, bu sayfayı ziyaret ettiğinde ya da e-postayı açtığında VBScript motoru tetiklenecek ve yazma işlemleri başlatılacaktır.
HTTP İstekleriyle Deney Yapma: Aşağıda gösterilen örnek bir HTTP isteği, bir kullanıcıyı saldırıya maruz bırakmak için kullanılan yöntemlerden biridir:

   GET /malicious-page.html HTTP/1.1
   Host: victim-website.com
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.82 Safari/537.36

Bu istek, kullanıcıyı zararlı betiğin bulunduğu sayfaya yönlendirecektir.

Sistem Üzerindeki Kontrol: Başarıyla istismar gerçekleştirdiyseniz, hedef sistemde zarar vermek veya bilgi çalmak için zararlı kodu çalıştırabilirsiniz.
Gizlilik Sağlama: Saldırıdan sonra izlerinizi silmek için sistemdeki güncellemeleri veya dosyaları kontrol edin. Elde edilen bilgileri asapca güvenli bir yere aktarın.

Gerçek dünya senaryolarında, bu tür bir zayıflığın istismarı, bir iç mevcut güvenlik açığı veya yamanmış bir güvenlik güncellemesinin atlanması ile gerçekleşebilir. Özellikle, kurumsal ortamlarda geriye dönük testler yaparak bu tür zayıflıkların etkisini minimize edebilirsiniz.

Son olarak, CVE-2018-8174 gibi zayıflıkları istismar etme konusunda bilgi sahibi olmak, yalnızca saldırganların değil, ayrıca güvenlik uzmanlarının da kullanımına sunulmalıdır. Bilgi güvenliği konusunda sağlam bir anlayış, saldırı ve savunma mekanizmalarının anlaşılmasını sağlayarak daha etkili bir koruma stratejisi oluşturmanıza yardımcı olacaktır.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2018-8174, Microsoft Windows'taki VBScript motorunun nesneleri bellekte nasıl işlediğini etkileyen bir uzaktan kod yürütme (Remote Code Execution - RCE) açığıdır. Bu zafiyet, kötü niyetli bir kullanıcının özel olarak hazırlanmış bir web sitesi veya e-posta iletisi aracılığıyla saldırdığı sistemlerde, saldırganın sisteme uzaktan erişim sağlamasına olanak tanır. Bu tür saldırılar, özellikle hiyerarşik bir organizasyonda büyük bir tehlike oluşturabilmektedir, çünkü bir sistemden diğerine yayılma potansiyeli yüksektir.

Adli bilişim alanında, bir siber güvenlik uzmanının bu tür bir saldırının gerçekleşip gerçekleşmediğini anlamak için sistem loglarını (günlük dosyalarını) dikkatli bir şekilde incelemesi gerekmektedir. SIEM (Security Information and Event Management - Güvenlik Bilgisi ve Olay Yönetimi) sistemleri, bu tür analizler için oldukça faydalı araçlar sunmaktadır. Log dosyalarındaki belirli imzaları (signature) tespit etmek, potansiyel bir RCE saldırısının izini sürmek için kritik öneme sahiptir.

Öncelikle, VBScript motorunun saldırısını tespit etmek için erişim (Access Log) ve hata (Error Log) loglarının incelenmesi gerekir. Aşağıda, dikkat edilmesi gereken bazı önemli imzalar ve analiz yöntemleri açıklanmaktadır:

İlk Belirtiler: RCE yazılımlarının çoğu, sistem üzerindeki varlıklarını gizlemek için çalışırken, log dosyalarında olağandışı bir etki yaratır. Kullanıcıların normalde yapmadıkları komutların veya işlemlerin kaydını içeren loglar dikkat çekmelidir. Örneğin,

  192.168.1.50 - - [12/Mar/2023:14:23:37 +0300] "GET /malicious_script.vbs HTTP/1.1" 200 2048

Yukarıdaki log girişi, bir kullanıcının kötü niyetli bir VBScript dosyasını indirmekte olduğunu gösterebilir.

Olağandışı Hata Mesajları: Hata loglarında sıklıkla karşılaşılan hatalar, bir RCE saldırısının izlerini taşıyabilir. Örneğin, "Heap corruption" mesajları, bellek taşması (Buffer Overflow) durumlarının göstergesi olabilir. Aşağıda bir örnek verilmiştir:

  ERROR: Heap corruption detected at 0x7FFDFCC8, process ID: 2845

Sistem ve Uygulama Logları: Sistem loglarındaki olağandışı girişimler, potansiyel bir zafiyetin habercisi olabilir. Örneğin,

  User 'admin' logged in from unknown source 192.168.1.100.

Gibi kayıtlar, varsayılan kullanıcı adı ve yanlış bir IP adresi ile giriş yapmaya çalışıldığını gösterir.

VBScript motorunun açıklarının kötüye kullanılması sonucunda sıklıkla bir "shell" (kabuk) bağlantısı kurulmakta ya da sistem dışında bir kötü amaçlı yazılımın yüklenmesi sağlanmaktadır. Bu nedenle, log analizlerinde dış bağlantılar (Outbound Connections) üzerinde durulması önem taşır. Aşağıda, bu tür bağlantıların tespitine yönelik bir örnek verilmektedir:

&lt;-- Outbound Connection --&gt;
IP: 45.33.32.20
Port: 8080

Bu log, sistemin dışarıya bir bağlantı açmış olabileceğini gösterir ve dikkatli incelenmelidir.

Sonuç olarak, CVE-2018-8174 gibi zafiyetlerin tespiti, analistlerin günlük dosyalarını detaylı bir biçimde incelemesi ve saldırı izlerini araştırmasıyla mümkündür. Log verilerinde bulunan detaylar, güvenlik uzmanlarına bu tür saldırıları önlemek veya siber olayların etkilerini azaltmak için kritik bilgiler sağlar. Siber güvenlik stratejileri geliştirmek ve uygulamak için bu bilgilerden yararlanmak son derece önemlidir.

Savunma ve Sıkılaştırma (Hardening)

CVE-2018-8174, Microsoft Windows işletim sisteminde bulunan ve VBScript motorunun bellek içindeki nesneleri işlerken yaşadığı bir "Out-of-Bounds Write" (sınır dışı yazım) zafiyetidir. Bu zafiyet, kötü niyetli bir kullanıcının uzaktan (RCE - Remote Code Execution) kod çalıştırmasına olanak tanımaktadır. Dolayısıyla, sistemlerin güvenliğini sağlamak amacıyla gerekli önlemlerin alınması büyük önem taşımaktadır.

Kesinlikle önemli olan, bu tür yazılımların güncellenmesi ve herhangi bir açık tespit edildiğinde hızlı hareket edilmesidir. İlk adım olarak, tüm Microsoft Windows sistemlerinin en güncel güvenlik yamaları ile sıkılaştırılması (hardening) sağlanmalıdır. Microsoft, bu tür güvenlik açıkları için düzenli güncellemeler yayınlamaktadır. Bu güncellemelerin zamanında yapılması, uzaktan kod çalıştırma (RCE) gibi zafiyetlerin önlenmesinde kritik bir adımdır.

Zafiyetin etkin bir şekilde yönetilmesi için yalnızca güncellemelerin uygulanması yeterli değildir. Ayrıca, sistemin yapılandırmasının da güvenlik standartlarına uygun bir şekilde yapılması gerekmektedir. Bu bağlamda, bir yapılandırma uygulamak üzere aşağıdaki adımlar önem arz etmektedir:

Active Scripting’i Devre Dışı Bırakmak: VBScript motoru ile alakalı zafiyetleri azaltmanın en etkili yollarından biri, Active Scripting'i tarayıcıda devre dışı bırakmaktır. Bunu gerçekleştirmek için tarayıcı ayarları üzerinden JavaScript ve Active Scripting seçeneklerini kapatabilirsiniz.
Uygulama Beyaz Listesi Oluşturmak: Kurumsal ağlarda sadece güvenli uygulamalara izin vermek için bir beyaz liste oluşturulmalıdır. Bu, zararlı yazılımların sisteme bulaşmasını önleyecektir.
Firewall ve WAF Kuralları: Güvenlik duvarları (Firewall) ve özellikle Web Uygulama Güvenlik Duvarları (WAF) kullanarak gelen ve giden trafiği kontrol etmek büyük önem taşır. Örneğin, genel olarak VBScript ile ilgili belirli HTTP isteklerini engelleyen kurallar oluşturmak etkin bir yöntemdir. Aşağıda örnek bir WAF kuralı verilmiştir:

   SecRule REQUEST_HEADERS:User-Agent ".*MSIE.*" \
       "id:1000001, phase:2, deny, status:403, \
       msg:'VBScript Engine RCE attack blocked'"

Güvenli Kod Yazımı: Bir sistem geliştirirken, yazılım geliştiricilerin güvenli kod yazımına odaklanması gerekmektedir. Örneğin, belirli nesnelerin sınırlarını kontrol etmek, hatalı bellek erişimi ve buffer overflow (tampon taşması) gibi zafiyetleri minimize eder.
Eğitim ve Farkındalık: Kurum içindeki tüm personelin güvenlik konusunda eğitilmesi kritik bir adımdır. Kullanıcıların bilinçlenmesi, sosyal mühendislik saldırılarına karşı daha dayanıklı hâle gelmelerini sağlar.
Sistem Monitöring ve Günlük Kaydı (Logging): Aktif sistem izleme ve günlük kaydı tutma mekanizmaları, şüpheli eylemlerin gazı geçici olarak takip edilmesine olanak tanır. Bu sayede potansiyel zafiyetleri hızlı bir şekilde fark etmek ve sistemin güvenliğini sağlamak mümkündür.

Sonuç olarak, CVE-2018-8174 zafiyetinin kapatılması için alınan önlemler, sadece güncellemeyle sınırlı olmamalıdır. Uygulama beyaz listeleri, WAF kuralları, sistem yapılandırmaları ve kullanıcı eğitimi gibi çeşitli metodlarla zafiyetin kötüye kullanılması önlenerek sistem güvenliği artırılabilir. Bu tür sıkılaştırma uygulamaları, kurumların siber tehditlere karşı daha dayanıklı hale gelmesini sağlayacaktır.