CVE-2018-8373: Microsoft Scripting Engine Memory Corruption Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2018-8373, Microsoft'un Internet Explorer'da bulunan scripting engine'inin (betik motoru) bellekte nesneleri yönetme şekliyle ilgili uzaktan kod yürütme (RCE) zafiyetidir. Bu zafiyet, kötü niyetli bir kullanıcının, kullanıcıların hedef sistemlerinde zararlı kod çalıştırmasına olanak tanır. Internet Explorer, Microsoft'un uzun bir geçmişe sahip olan web tarayıcısıdır ve bu tür zafiyetler, yıllar boyunca kullanıcıların güvenliğini tehdit eden potansiyel tehlikelere yol açmıştır.

Bu zafiyet, scripting engine'in bellek yönetiminde bir boşluk (buffer overflow) olmasından kaynaklanmaktadır. Bellek boşlukları, uygulamaların yanlış bellek alanlarına erişim sağlamasına neden olur ve bu durum, kötü niyetli kodların çalıştırılabilmesine kapı aralar. Belirli bir kullanıcı etkileşimi gerektiren bu zafiyet, bir web sayfası yoluyla tetiklenebilir. Kullanıcı, kötü amaçlı bir web sayfasını ziyaret ettiğinde, tarayıcı scripting engine 'ini kullanarak bellek yönetiminde yaşanan hata sayesinde, zararlı kod hedef sistemde çalıştırılabilir.

CVE-2018-8373 zafiyeti, dünya genelinde birçok sektörde etkili olmuştur. Özellikle finans, sağlık ve devlet sektörleri gibi hassas verilere sahip olan alanlarda, bu tür zafiyetlerin potansiyel etkileri son derece ciddidir. Örneğin, kötü niyetli bir saldırgan, finansal verileri çalmak veya kullanıcının tarayıcı geçmişine erişim sağlamak amacıyla bu zafiyeti kullanabilir. Sağlık sektöründe ise hasta kayıtlarına ulaşım sağlayabilecek bir saldırı, sonuçları her şeyden daha yıkıcı hale getirebilir.

Gerçek dünya senaryosu olarak, bir çalışanın şirket dışı bir bilgisayar üzerinden iş e-postalarını kontrol etmek için Internet Explorer kullanmasını düşünelim. Kötü niyetli bir saldırgan, bu çalışana saldırarak özel bir link gönderir. Kullanıcı, bu linki tıklayarak bir web sayfasını açtığında, CVE-2018-8373 üzerinden kötü niyetli kodun çalışması için gerekli olan bellek yönetim hatalarının tetiklenme olasılığı ortaya çıkar. Bu durumda, saldırgan, kullanıcının sistemine uzaktan erişim sağlayabilir ve hassas bilgilere ulaşabilir.

Microsoft, bu zafiyeti düzeltmek üzere güvenlik güncellemeleri yayımlamıştır. Kullanıcıların ve sistem yöneticilerin bu zafiyete karşı dikkatli olması ve düzenli olarak güncellemeleri kontrol etmesi son derece önemlidir. Ayrıca, Internet Explorer’ın yerini alan daha modern ve güvenli tarayıcıların kullanılması da önerilmektedir. Kullanıcıların, bilinmeyen veya şüpheli kaynaklardan gelen bağlantılara tıklamaktan kaçınması ve güncel güvenlik yazılımlarının kullanılması, bu tür zafiyetlere karşı birer önlem olarak öne çıkmaktadır.

Sonuç olarak, CVE-2018-8373 gibi zafiyetler, kötü niyetli saldırganların hedef sistemlerdeki güvenlik açıklarını kullanarak ciddi zararlar verebileceğinin bir örneğidir. Bu tür tehditlere karşı dikkatli olmak ve önceden alınacak tedbirler, sistem güvenliğini artırmak adına kritik öneme sahiptir.

Teknik Sömürü (Exploitation) ve PoC

CVE-2018-8373, Microsoft'un Internet Explorer (IE) Scripting Engine'inde bulunan bir bellek bozulma salgınını (memory corruption vulnerability) temsil eder. Bu zafiyet, uzaktan kod yürütme (Remote Code Execution - RCE) yeteneği sayesinde, kötü niyetli bir kullanıcının hedef sistemde istenmeyen komut dosyaları çalıştırmasına olanak tanır. Söz konusu zafiyet, bir saldırganın zararlı bir web sayfasına yönlendirdiği bir kullanıcı aracılığıyla istismar edilebilir. Bu bölümde, CVE-2018-8373'ü nasıl sömürebileceğimizi ve bunun için teknik bir yol haritası çizeceğiz.

Öncelikle, zafiyetin nasıl çalıştığını anlamamız kritik önem taşımaktadır. Internet Explorer'da bulunan scripting engine, nesneleri (objects) bellekte işleme alırken güvenlik açıkları ortaya çıkmaktadır. Bu açık, saldırganın belirli bir yükle (payload) beraber sistemde uzaktan kod çalıştırmasına izin verir.

Adım 1: Hedef Bilgilerini Toplama Herhangi bir penetrasyon testi veya zafiyet istismarı sürecinde ilk adım, hedef sistem hakkında bilgi toplamaktır. Internet Explorer kullanan bir kurumsal ağı hedef alıyorsak, kullanıcıların hangi sürüm IE'yi kullandığı, hangi işletim sistemlerine sahip oldukları gibi bilgilere ulaşmalıyız. Bunu yapmak için sosyal mühendislik yöntemlerini veya çeşitli araçları kullanabiliriz.

Adım 2: Zararlı Web Sayfasının Oluşturulması Hedefe yönlendirmek üzere kullanacağımız zararlı bir HTML sayfası oluşturmalıyız. Bu sayfa, IE scripting engine'inde bellek bozulmasına neden olabilen özel bir JavaScript veya ActiveX yüklemesi içermelidir.

Örnek bir zararlı sayfa şöyle görünebilir:

&lt;!DOCTYPE html&gt;
&lt;html&gt;
&lt;head&gt;
    &lt;title&gt;Malicious Page&lt;/title&gt;
    &lt;script&gt;
        // Burada bellek bozulması yaratacak özel bir kod yer almalıdır
        var obj = new ActiveXObject("Scripting.FileSystemObject");
        // İşlemler...
    &lt;/script&gt;
&lt;/head&gt;
&lt;body&gt;
    &lt;h1&gt;Kötü Amaçlı Sayfa&lt;/h1&gt;
    &lt;p&gt;Devam etmek için lütfen tıklayın.&lt;/p&gt;
&lt;/body&gt;
&lt;/html&gt;

Adım 3: Saldırı Senaryosunun Testi Zararlı web sayfamız hazır olduğuna göre, yazdığımız sayfanın işlevselliğini test etmeliyiz. Bunun için PhantomJS, Selenium veya benzeri bir araç kullanarak otomatik test senaryoları oluşturabiliriz. Kullanıcının sayfayı ziyaret ettiğinde, belirttiğimiz objelerin bellekte nasıl bozulduğunu gözlemleyebiliriz.

Adım 4: PoC (Proof of Concept) Kodu Gerçek bir istismar senaryosuna ulaşmak için, zafiyeti deşifre eden bir PoC geliştirebiliriz. Python kullanarak, hedef makinenin IP'sine zararlı kod yükleme işlemini gerçekleştiren bir exploit dosyası oluşturabiliriz.

Aşağıda basit bir exploit örneği verilmiştir:

import requests

url = "http://hedef-sistem"
payload = {
    "command": "cmd.exe /c dir"  # burada hedef sistemde çalıştırılacak komutlar yer alabilir
}

response = requests.post(url, data=payload)

if response.status_code == 200:
    print("Saldırı başarılı!")
else:
    print("Saldırı başarısız.")

Adım 5: Saldırının Gözlemlenmesi Yükleme sonrası hedef sistemin durumu gözlemlenmelidir. Bu süreç, sistem günlüklerini (logs) incelemeyi ve komut dosyalarının başarıyla çalışıp çalışmadığını kontrol etmeyi içerir. Etki alanında yer alan diğer makinelerde herhangi bir anomali veya olağan dışı davranış olup olmadığını da tespit etmemiz faydalı olacaktır.

Sonuç olarak, CVE-2018-8373 zafiyeti, Internet Explorer'ın scripting engine'inde bulunması nedeniyle uzaktan kod çalıştırmaya imkan tanımaktadır. Bu tür zafiyetlerin iyi anlaşılması, sistemlerin korunmasında ve gelecekteki olası tehditlerin önlenmesinde büyük önem taşır. Unutulmamalıdır ki, etik hacking (white hat hacking) her zaman yasal ve etik sınırlar içinde olmalıdır.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2018-8373, Microsoft'un Internet Explorer tarayıcısındaki scripting engine üzerinde bulunan bir uzaktan kod yürütme (RCE - Remote Code Execution) zafiyetini işaret eder. Bu zafiyet, hafıza yönetiminde nesnelerin yanlış işlenmesinden kaynaklanmaktadır ve kötü niyetli bir aktör, bu zafiyeti kullanarak sistemde istenmeyen komutlar çalıştırabilir. Bu tür zafiyetler, özellikle kurumsal ortamlarda ciddi güvenlik tehditleri oluşturur ve siber forensik (adli bilişim) ile log analizi, bu saldırıları tespit etmede kritik bir rol oynar.

Saldırıların tespiti için bir güvenlik uzmanının dikkat etmesi gereken öncelikli unsurlardan biri, SIEM (Security Information and Event Management) sistemleri tarafından üretilen log dosyalarıdır. Özellikle Access log (Erişim log) ve Error log (Hata log) dosyaları, potansiyel saldırıları belirlemek için önemli veriler içermektedir. Aşağıda bu log dosyalarında hangi imzalara (signature) dikkat edilmesi gerektiği üzerine bazı örnek senaryolar ve teknik derinlik sağlanacaktır.

Öncelikle, erişim loglarında dikkat edilmesi gereken önemli bir gösterge, Internet Explorer üzerinden yapılan anormal HTTP istekleridir. Eğer bir kullanıcının tarayıcısı üzerinden çoğu zaman beklenen url'ler haricinde bir dizi istek yapılıyorsa, bu potansiyel bir saldırı belirtisi olabilir. Söz gelimi, loglarda aşağıdaki gibi bir giriş görülebilir:

GET /path/to/something.js HTTP/1.1" 200 1024

Bu tür JavaScript veya diğer script dosyaları ile yapılan istekler, CVE-2018-8373 gibi zafiyetlerin hedefi olabilecek kötü niyetli içeriklere işaret edebilir.

Error log'larını incelemek de oldukça kritik. Kötü niyetli bir aktör, sistemde belirli bir koddaki bir hatayı tetikleyebilir. Örneğin, log dosyasında aşağıdaki gibi bir hata kodu ile karşılaşabilirsiniz:

[ERROR] scriptHandler.js: Uncaught TypeError: Cannot read property 'length' of undefined

Bu tür hata mesajları, scripting engine üzerinde bir exploit (sömürü) girişiminde bulunulduğuna dair bir göstergedir.

Log analizi yaparken, özellikle belirli kullanıcı IP’lerini veya eylemlerini izlemek de önemlidir. Örneğin, belirli bir IP adresinden gelen olağandışı aktiviteler, otomatik botlar veya kötü niyetli kullanıcılar tarafından gerçekleştirilen işlemler olabilir. Özellikle yüksek sayıdaki isteklerin hızlı bir şekilde yapılması, DDoS (Distributed Denial of Service) saldırılarına veya başka bir exploit denemesine işaret edebilir.

Ayrıca, bellek sızıntısı ya da hafıza koruma hataları gibi belirli anormallikleri tespit eden sistemleri de göz önünde bulundurmalısınız. Eğer sistem, beklenmeyen bir şekilde çöküyorsa ya da bellek kullanımı olağanüstü artıyorsa, bu durum hafıza bozulması (memory corruption) gibi sorunlara işaret edebilir.

Tüm bu verilerin analiz edilmesi, CVE-2018-8373 gibi bilinen zafiyetlerin ortaya çıkmasıyla ilgili potansiyel tehditleri önceden tespit etme şansı sunar. Siber güvenlik uzmanları, bu tür log analizi yöntemlerini kullanarak, saldırılara karşı daha proaktif bir yaklaşım benimseyebilirler.

Son olarak, bu tür bir zafiyetin etrafında dönen saldırıları belirlemek ve önlemek için, güncel güvenlik yamalarının uygulanması ve tarayıcıların güncel tutulması da hayati öneme sahiptir. Sonuç olarak, etkili bir siber forensik süreci, doğru imzaların ve belgelerin ele alınmasıyla mümkündür.

Savunma ve Sıkılaştırma (Hardening)

CVE-2018-8373, Microsoft'un Internet Explorer içindeki Scripting Engine (Betik Motoru) ile ilgili bir bellek bozulması (memory corruption) zafiyetidir. Bu zafiyet, uzaktan kod yürütme (remote code execution - RCE) saldırılarına olanak tanır. Kötü niyetli bir kullanıcı, bu açığı kullanarak sistemde istenmeyen komutlar çalıştırabilir. Bu durum, özellikle güncel olmayan veya yamanmamış sistemler için büyük bir tehdit oluşturur.

Bu zafiyet, nesnelerin bellekte işleniş biçimindeki bir hatadan kaynaklanır. Internet Explorer üzerinde açılan zararlı bir web sayfası veya zararlı bir betik, bu zafiyeti tetikleyerek saldırganın hedef sistemde kod çalıştırmasına olanak tanır. Özellikle bu tür saldırılar, iç ağ üzerinde uzmanlaşmış bir saldırgan tarafından, kullanıcıların tarayıcıda gezindikleri sırada gerçekleştirildiğinde son derece etkili olabilir.

Savunma ve sıkılaştırma (hardening) stratejileri, bu tür zayıflıkları kapatmak için kritik öneme sahiptir. İlk olarak, Internet Explorer'ın en güncel versiyonunu kullanmak büyük önem taşır. Microsoft, zayıflıkları kapatmak için sık sık yamalar (patch) yayınlar. Kullanıcıların, sistemlerini düzenli olarak güncellemeleri gerektiği konusunda bilinçlendirilmesi önemlidir.

Bunun yanı sıra, tarayıcı güvenliğini artırmak için alternatif güvenlik çözümleri uygulanabilir. Örneğin, bir Web Uygulama Güvenlik Duvarı (WAF) kullanarak kötü niyetli trafiği engelleyebiliriz. WAF kurallarını düzenleyerek, Internet Explorer tabanlı zararlı içeriklere erişimi sınırlamak ve belirli betik türlerini engellemek mümkündür. Aşağıda, örnek bir WAF kuralı verilmiştir:

SecRule REQUEST_URI "@rx (scripting|eval|document\.cookie)" \
    "phase:2,log,deny,status:403,id:1000001,msg:'Potential malicious script attempt.'"

Burada, yasal olmayan içerikleri tespit etmek için belirli anahtar kelimelere dayalı bir kural oluşturulmuştur. Bu tür kurallar, web trafiğini sürekli izleyerek potansiyel tehditleri önceden tespit etmenizi sağlar.

Kalıcı sıkılaştırma önerileri arasında, Internet Explorer'da Active Scripting'i (Etkin Betikleme) devre dışı bırakmak veya sınırlı bir şekilde yapılandırmak yer almaktadır. Kullanıcıların güvenli bir tarayıcı kullanmaları teşvik edilmelidir. Örneğin, Chrome veya Firefox gibi daha güncel ve güvenli alternatifler kullanılabilir.

Ayrıca, uygulama seviyesinde güvenlik kontrollerinin artırılması gerekir. Kullanıcıların yalnızca ihtiyacı olan izinlerle donatılması (least privilege) ve her zaman kullanmadıkları uygulamaları devre dışı bırakmaları teşvik edilmelidir. Bu, kötü niyetli yazılımların sisteme sızmasını zorlaştırır.

Sonuç olarak, CVE-2018-8373 zafiyeti gibi bellek bozulması açıkları, güncellenmeyen sistemler için büyük tehditler oluşturur. Kullanıcıların güncel kalması, WAF gibi ilave güvenlik çözümleri kullanmaları ve sıkılaştırma (hardening) önlemleri almaları, bu tür zayıflıklara karşı etkili birer savunma olacaktır. Bu tedbirler alınmadığı takdirde, uzaktan kod yürütme (RCE) ve diğer tehditler, siber güvenlik ortamını ciddi şekilde tehdit etmeye devam edecektir.