CVE-2019-0880: Microsoft Windows Privilege Escalation Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2019-0880, Microsoft Windows işletim sistemlerinde önemli bir güvenlik zafiyetidir ve bu zafiyetin varlığı, kötü niyetli kullanıcıların yerel bir yetki yükseltmesi (local elevation of privilege) gerçekleştirmesine olanak tanır. Özellikle, splwow64.exe adlı bileşenin belirli çağrıları işleyişinde yaşanan bir sorun, bir saldırganın düşük entegre seviyesinden (low-integrity) orta entegre seviyesine (medium-integrity) yükselmesini sağlamaktadır. Bu, sistem üzerinde daha geniş yetkilere erişim sağlayarak, saldırganların kötü niyetli eylemler gerçekleştirmesine imkan tanır.

Zafiyetin keşfedilmesi, 2019 yılının ilk çeyreğinde meydana gelmiştir ve saldırganların düşük yetkilerle çalıştıkları durumlarda bile, sistemin daha yüksek yetki seviyelerine erişim sağlayabilmesi açısından büyük bir risk oluşturmuştur. Microsoft, bu zafiyeti, özellikle bilgisayar sistemlerine sızmayı hedefleyen saldırganların iş süreçlerini tehlikeye atabileceği endişesiyle hızlı bir şekilde patch (yamanma) ile çözüme kavuşturmuştur. Zafiyetin genel yapısı, sistem kaynaklarının yönetiminde hata yapılmasıyla alakalıdır ve kötü niyetli kullanıcılar bu hataları kullanarak yetki elde edebilirler.

Gerçek dünya senaryolarında, bu tür bir yetki yükseltmesi, özellikle kurumsal sistemlerde ciddi tehditler oluşturabilir. Örneğin, bir finans kuruluşunda çalışma yapan bir kötü niyetli aktör, temel olarak düşük entegre bir hesapla sisteme sızabilirse, bu yetkisiz ilerleme sonucunda bilgilere erişim sağlamak, verilerin değiştirilmesi veya çalınması gibi eylemlerde bulunabilir. Medya, sağlık ve otomotiv gibi farklı sektörler, bu tür zafiyetlerden etkilenebilmektedir ve buna bağlı olarak kullanıcı verileri ciddi tehditler altına girmektedir.

CVE-2019-0880'in etkilediği sektörler arasında özellikle kamu sektörü, finans ve enerji yer almaktadır. Bu sektörlerdeki sistemlerin birçoğunda yüksek hassasiyetli veriler bulunmaktadır ve bu tür zafiyetler, bu bilgilerin kötüye kullanılmasına yol açabilir. Zafiyetin çözümü olarak sunulan patch, kullanıcıların sistemlerini güncel tutmalarını ve saldırganların bu tür yetki yükseltme zafiyetlerinden yararlanmalarını engellemeleri açısından son derece önemlidir.

Zafiyetin yamanmasıyla birlikte, Microsoft, kullanıcıları ve sistem yöneticilerini uyararak, güncellemeleri zamanında uygulamaya teşvik etmiştir. Ancak, birçok şirketin sistemlerini güncellemeyi ihmal ettiği düşünülürse, bu durum, hala potansiyel bir tehdit oluşturmakta ve cyber security (siber güvenlik) alanında devam eden bir mücadeleyi gözler önüne sermektedir. Bir "White Hat Hacker" olarak, bu tür zafiyetlerin varlığını ve etkisini anlamak, güncel tehditler karşısında de aldığı önlemleri bilmek kritik öneme sahiptir.

Hataya ulaşımı sağlayan splwow64.exe bileşeninin yapısı, detaylı bir analiz gerektirse de, açık kaynak ve dinamik analiz araçları kullanılarak zafiyetin daha detaylı incelenmesine olanak tanımaktadır. Kötü niyetli bir aktörün, bu zafiyetten yararlanmak adına nasıl bir yöntem izleyeceğini anlamak, hem kendi sistemlerimizi korumak hem de başkalarını uyarmak amacıyla son derece önemlidir. Bu tür zafiyetler ile ilgili farkındalık oluşturarak, hem bireysel hem de kurumsal düzeyde siber güvenliğin güçlendirilmesine katkı sağlanabilir.

Teknik Sömürü (Exploitation) ve PoC

CVE-2019-0880, Microsoft Windows işletim sisteminde bulunan bir yerel ayrıcalık yükseltme (privilege escalation) zafiyetidir. Bu zafiyet, splwow64.exe uygulamasının belirli çağrıları nasıl işlediğinde ortaya çıkmaktadır. Başarılı bir şekilde bu zafiyeti istismar eden bir saldırgan, etkilenen bir sistemdeki düşük bütünlük seviyesinden (low integrity) orta bütünlük seviyesine (medium integrity) geçiş yaparak daha fazla yetki kazanmaktadır.

Windows işletim sistemleri, uygulamaların işlem gücünü etkili bir şekilde yönetmek için güvenlik katmanı oluşturan bir model kullanmaktadır. Yetkiler, sistemin genel güvenliğini sağlamak için önemlidir. Ancak, bu tür zafiyetler, saldırganların sistem içinde kritik bilgilere erişimini kolaylaştırabilir.

Sözü edilen zafiyeti teknik olarak sömürmek isteyen bir "White Hat Hacker", aşağıdaki adımları izleyebilir:

Zafiyetin Anlaşılması: Öncelikle, CVE-2019-0880 zafiyetinin tam olarak neyi içerdiğini anlamak önemlidir. splwow64.exe, 32 bit uygulamaların 64 bit Windows üzerinde çalışmasına olanak tanıyan bir uygulamadır. Bu süreçte, belirli API çağrıları sırasında ortaya çıkan sorunlar, kötü niyetli bir kullanıcının sistemde yüksek yetkili komutlar çalıştırabilmesine olanak tanır.
Ortamın Hazırlanması: Etkili bir test ortamı kurmak için sanal makinelerde Windows işletim sisteminin zafiyetten etkilenen sürümlerini çalıştırmak gerekmektedir. Örneğin, Windows 10 1903 sürümü bu zafiyetten etkilenmektedir.
Zafiyetin Keşfi ve Deneysel İstismar: Bu aşamada, Microsoft'un ilgili API'lerinin nasıl işlediğini ve hangi çağrıların soruna yol açtığını anlamak gerekir. Aşağıdaki gibi bir Python taslağı, temel olarak bu API'lerle etkileşim kurarak yerel ayrıcalık yükseltmeye çalışacaktır:

   import ctypes
   import struct

   # Zafiyeti istismar etmek için kullanılacak örnek kod
   def exploit_vulnerability():
       # Burada gerekli API çağrılarını yapılandırın
       api_call = ctypes.windll.user32.MessageBoxW(0, 'Exploit Successful!', 'CVE-2019-0880', 1)
       return api_call

   if __name__ == "__main__":
       exploit_vulnerability()

HTTP İstek ve Yanıtların İncelenmesi: Eğer bir web hizmeti üzerinden saldırı yapılıyorsa, hedef sistemin HTTP isteklerine erişim sağlanması önemli bir adım olacaktır. Örneğin, bir HTTP POST isteği ile hedef sistemi etkileyecek belirli bir yük (payload) gönderilebilir.

   POST /vulnerable_endpoint HTTP/1.1
   Host: targetsystem.com
   Content-Type: application/x-www-form-urlencoded

   payload=malicious_data

Sonuçların Analizi ve İzleme: Saldırının sonuçlarını analiz etmek önemlidir. Hedef sistem üzerindeki etkileri, olay kayıtları (logs) ve diğer güvenlik mekanizmaları kullanılarak izlenebilir.

Bu süreç, bir "White Hat Hacker" tarafından etik olarak gerçekleştirildiğinde, sistemlerin güvenliğini artırmaya yönelik bir adım olarak düşünülebilir. Ancak, belirtilmelidir ki, bu tür zafiyetler arasından geçerek gerçekleştiren herhangi bir kötü niyetli eylem yasal sonuçlar doğurabilir. Dolayısıyla, etik kurallara uygun hareket etmek her zaman esastır.

Unutulmamalıdır ki, zafiyetlerin istismarı ve keşfi, yalnızca mevcut sistemlerin savunmasını güçlendirmenin bir aracı olarak kullanılmalıdır. Meseleye bu açıdan bakmak, hem güvenlik uzmanlarının hem de sistem yöneticilerinin görevlerini yerine getirmelerinde büyük önem taşır.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2019-0880, Microsoft Windows işletim sistemi üzerinde yer alan bir yerel yetki yükseltme (local elevation of privilege) zafiyetidir. Bu zafiyet, splwow64.exe uygulamasının belirli çağrıları işleme şekliyle ilgilidir. Başarılı bir şekilde istismar edildiğinde, bir saldırgan düşük güvenlik seviyesine (low-integrity) sahip bir hesapla bir sistem üzerinde, orta güvenlik seviyesine (medium-integrity) yükselebilir. Bu da, saldırganın sistemde daha fazla yetkiye sahip olmasına ve dolayısıyla daha kritik verilere erişim sağlamasına olanak tanır.

Gerçek dünya senaryolarında, bu tür bir zafiyet, özellikle ortamında çeşitli uygulamaların çalıştığı bir kurumsal ağda ciddi sorunlara yol açabilir. Örneğin, bir saldırgan, kullanıcı uygulamaları aracılığıyla sistemi ele geçirip, zafiyeti kullanarak daha yüksek erişim hakları elde edebilir. Bu tür bir yetki yükseltme, sistemin yönetimsel işlevlerine ulaşımı sağlar. Saldırgan, bu seviyeden itibaren malware (kötü amaçlı yazılım) yüklemek veya veri sızdırmak gibi saldırılar gerçekleştirebilir.

Bir siber güvenlik uzmanı, SIEM (Security Information and Event Management) sistemleri veya log dosyaları aracılığıyla (Access log, error log vb.) bu tür bir saldırının gerçekleşip gerçekleşmediğini anlamada belirli imzalara (signature) bakmalıdır. Örneğin:

Log İncelemesi: splwow64.exe ile ilgili loglar incelenebilir. Eğer bu process (işlem) daha önceki kullanım örnekleriyle kıyaslandığında beklenmedik bir şekilde yüksek erişim hakları talep ediyorsa, bu bir gösterge olabilir.
Hata Kayıtları: Error logları, uygulamanın hata vermesi durumunda hangi işlemlerin gerçekleştiğini gösterir. Eğer splwow64.exe sık sık hatalar veriyorsa, bu, potansiyel bir saldırının emarelerinden biri olabilir.
Yetkilendirme Değişiklikleri: Kullanıcı yetkilerindeki ani değişimler, özellikle de düşük güvenlik seviyesinden yüksek güvenlik seviyesine geçen oturumlar dikkatle incelenmelidir.
Alışılmadık Süreç Davranışları: Bilgisayarınızda çalışan süreçlerin (process) beklenmedik davranışları da önemli bir göstermedir. Örneğin, bir kullanıcının splwow64.exe gibi bir arka plan servisini çalıştırması fakat bu süreç altında işlem yapan kullanıcı veya uygulamanın güvenilir olmaması, bir saldırının ilk adımı olabilir.

Ayrıca, log analizi sırasında bazı belirgin desenler ve gösterimler dikkatle izlenmelidir. Örneğin, loglarda sıklıkla çıkan şu tür ifadeler, zafiyetten kaynaklanan bir yetki yükseltme saldırısının delilleri olabilir:

Event ID 4672: Special privileges assigned to new logon 
 Event ID 4624: An account was successfully logged on

Aynı zamanda, kullanıcı oturum açma (logon) etkinlikleri ve sistem çağrıları da detaylı incelenmeli; zaman damgaları, IP adresleri gibi bilgiler üzerinden anomali tespiti yapılmalıdır. Eğer daha önce bahsi geçmeyen bir IP adresinden veya olay zaman diliminde bir sıçrama gözlemlenirse, ilgili oturumlar incelenmelidir.

Sonuç olarak, CVE-2019-0880 gibi yerel yetki yükseltme zafiyetlerini tespit etmek, proaktif bir altyapı ve log analizi ile mümkündür. Güvenlik uzmanları, bu tür senaryoları göz önünde bulundurarak loglar üzerinden kapsamlı bir inceleme yapmalı ve potansiyel saldırıları önceden tespit etmeye çalışmalıdır.

Savunma ve Sıkılaştırma (Hardening)

CVE-2019-0880, Microsoft Windows işletim sisteminde yer alan bir yerel yetki yükseltme (Privilege Escalation) zafiyetidir. Bu zafiyet, splwow64.exe'nin bazı çağrıları nasıl işlediğiyle ilgilidir. Eğer bir saldırgan bu zafiyeti başarılı bir şekilde istismar ederse, etkilenmiş bir sistemde düşük bütünlükten (low-integrity) orta bütünlüğe (medium-integrity) yetki yükseltebilir. Bu durum, saldırganın daha fazla sistem kaynaklarına erişim elde etmesine ve potansiyel olarak yüksek yetkilerle kötü niyetli aktivitelerde bulunmasına olanak tanır.

CVE-2019-0880’in kapatılması için öncelikle işletim sisteminin güncellenmesi önerilir. Microsoft, bu tür güvenlik açıklarını gidermek için genellikle güncellemeler yayınlar. Sisteminizi güncel tutmak, bilinen zafiyetlere karşı koruma sağlamak adına kritik öneme sahiptir. Örneğin, aşağıdaki gibi bir komut ile sistem güncellemelerini kontrol edebilirsiniz:

sfc /scannow

Güvenlik güncellemeleri dışında, firewall (güvenlik duvarı) yapılandırmalarını gözden geçirmek de etkilidir. Alternatif bir WAF (Web Application Firewall) kurallarını uygulamak, sisteminize gelebilecek zararlı trafiği filtreleyebilir. Aşağıda yer alan örnek firewall kuralı, belirli dış IP'lerden gelen trafiği engellerken, diğer tüm trafiği kaynaklandıracaktır:

iptables -A INPUT -s 192.168.1.100 -j DROP
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -j DROP

Bu kurallar, belirlenen IP adresinden gelen zararlı istekleri engelleyecek ve bununla birlikte web sunucunuzun çalışmasını sürdürebilmesine olanak tanıyacaktır.

Kalıcı sıkılaştırma (hardening) önerileri arasında, hizmetlerin ve uygulamaların minimum yetkilerle çalışmasını sağlamak yer alır. Bu yaklaşım, kötü niyetli bir saldırının etkilerini azaltır. Ayrıca, gereksiz hizmetlerin kapatılması sistemin güvenliğini artırır. Örneğin, aşağıdaki gibi bir komut ile gereksiz bir hizmeti durdurabilirsiniz:

sc stop <hizmet_adı>

Zafiyetin yapısı gereği potansiyel bir “Remote Code Execution” (Uzak Kod Çalıştırma) vektörüne dönüşebilir. Bu nedenle, sistemde çalışan 3. parti yazılımların ve bileşenlerin güncelliği kontrol edilmelidir. Özellikle, belirli bir yazılımın güncellenmesi, bu tür zafiyetlerin istismar edilmesini zorlaştırabilir.

Etkilenen sistemlerde, kullanıcı hesaplarının ve grupların güvenlik izinlerini gözden geçirmek de önemlidir. Yetkilendirmeleri mümkün olduğunca kısıtlamalı ve sadece gereken kullanıcıların belirli kaynaklara erişim hakkına sahip olmasını sağlamalıyız. Ayrıca, olay günlüklerinin izlenmesi ve kötü amaçlı aktivitelerin tespit edilmesi için bir SIEM (Security Information and Event Management) çözümü de entegre edilmelidir.

Sonuç olarak, CVE-2019-0880 zafiyeti gibi güvenlik açıkları, proaktif bir yaklaşım ve sıkılaştırma ile yönetilmelidir. Güncellemeler, firewall yapılandırmaları, hizmetlerin kısıtlanması ve düzenli izleme ile etkili bir güvenlik stratejisi oluşturulabilir. Bu sayede, sistemin güvenliği artırılır ve olası saldırı vektörlerine karşı dayanıklılık sağlanır.