CVE-2019-1130: Microsoft Windows AppX Deployment Service Privilege Escalation Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2019-1130, Microsoft Windows işletim sistemindeki AppX Deployment Service (AppXSVC) olarak bilinen hizmetteki bir zafiyeti ifade etmektedir. Bu zafiyet, sistemin yanlış bir şekilde hard link'leri (sert bağlantılar) işlemesi sonucu meydana gelmektedir. Hard link'ler, bir dosyanın birden fazla yolu üzerinden erişilmesine olanak tanıyan bir mekanizmadır. Bu zafiyet kötü niyetli bir kullanıcının yetkisiz erişim (privilege escalation) sağlamasına yol açabilir. Yani, sistemde normalde sahip olmadığı yetkilere ulaşarak, potansiyel olarak daha yüksek seviyede sistem yetkileri elde edebilir.

CVE-2019-1130'un tarihçesi, 2019 yılının Eylül ayında Microsoft tarafından yayınlanan bir güvenlik bildirimi ile başlamaktadır. Bu güvenlik bildirimi, zafiyetin varlığı ve buna karşı alınması gereken önlemler hakkında bilgi vermiştir. Microsoft, bu zafiyeti gidermek için bir güncelleme yayınlayarak, AppX Deployment Service üzerindeki güvenlik önlemlerini güçlendirmiştir.

Zafiyetin yer aldığı kütüphane, Windows’un temel bileşenlerinden biri olan AppX Deployment Service’tir. Bu servis, Windows uygulamalarının dağıtımını ve güncellenmesini yönetir. Bu bağlamda, AppXSVC'nin hatalı çalışması, uygulamaların yönetilmesi sırasında bellek işlemleri üzerinde kontrolsüz erişim sağlamasıyla sonuçlanıyor. Bir saldırgan, bu durumu kötüye kullanarak sistemde tam yetki kazanabilir. Böyle bir senaryoda, kötü niyetli yazılımlar (malware) yüklenebilir, kullanıcı verileri çalınabilir ya da sistemin çalışması tamamen durdurulabilir.

Dünya genelinde bu zafiyet, özellikle hükümet kurumları, finans kuruluşları, eğitim kurumları ve sağlık sektöründe etki yaratmıştır. Bu sektörler, her biri kendine özgü hassas veriler ve sistemler barındırdığı için, daha fazla saldırıya maruz kalma potansiyeline sahiptir. Örneğin, sağlık sektöründe yaşanan bir yetki aşımında, bir saldırgan hasta kayıtlarına ulaşabilir ve bu bilgileri kötüye kullanabilir. Aynı şekilde, finans sektöründeki zafiyetler, mali bilgi ve işlemlerin tehlikeye girmesine yol açabilir.

Gerçek dünya senaryoları düşünüldüğünde, bir hacker’ın (beyaz şapka hacker) bu tür bir zafiyeti tespit etmesi ve sistemdeki güvenlık açıklarını belirlemesi, bu tür saldırıların önlenmesi açısından son derece önemlidir. Aşağıdaki örnekle bu durumu daha net anlayabiliriz:

// Bir sistem yöneticisi, sert bağlantının nasıl oluşturulduğunu görmek istemektedir.
try
{
    // Orijinal dosya
    string originalFile = @"C:\SensitiveData\secret.txt";
    // Yeni sert bağlantı
    string hardLink = @"C:\HardLinks\link_to_secret.txt";

    // Sert bağlantı oluşturma
    CreateHardLink(hardLink, originalFile, IntPtr.Zero);
}
catch (Exception ex)
{
    Console.WriteLine("Hata: " + ex.Message);
}

Burada görüldüğü gibi, sert bağlantıların yanlış kullanımı üzerinden bir zafiyet oluşabilir. Olası bir siber saldırgan, bu yapıyı kullanarak sistemdeki önemli bilgilere erişim sağlayabilir. Dolayısıyla, güvenlik açıklarının tespiti ve ortadan kaldırılması, bilgi güvenliğinin sağlanması açısından kritik bir öneme sahiptir. White Hat hacker’lar, bu tür zafiyetleri sürekli olarak izlemekte ve gerekli durumlarda düzeltme önlemleri almaktadır. Bu sayede, sistemlerin daha güvenli hale gelmesi hedeflenmektedir.

Teknik Sömürü (Exploitation) ve PoC

CVE-2019-1130, Microsoft Windows işletim sistemindeki AppX Deployment Service (AppXSVC) hizmetinin, "hard link" (sert bağlantı) işlemlerini yanlış yönetmesi nedeniyle ortaya çıkan bir ayrıcalık yükseltme (privilege escalation) zafiyetidir. Bu zafiyet, saldırganların, kötü niyetli bir şekilde sistemdeki yetkilerini artırarak daha yüksek imtiyazlarla (elevated privileges) işlemler gerçekleştirmesine olanak tanır. Sahip olduğunuz düşük seviyedeki izinlerle sınırlı kalarak, sistem üzerinde önemli değişiklikler yapabilmek için bu tür zafiyetler oldukça dikkat çekici olmaktadır.

Zafiyetin teknik sömürü süreci, öncelikle sistemde gerekli ön koşulların sağlanması ile başlar. Saldırgan, hedef sistemde bir Windows hesabına erişim sağlamalıdır; bu, bir kimlik avı saldırısı (phishing) veya sosyal mühendislik (social engineering) yoluyla gerçekleştirilebilir. Saldırgan, ardından AppX uygulamalarının dağıtımında kullanılan ardından gireceği "hard link" yoluyla çalışmayı başlatacaktır.

Aşağıda adım adım sömürü sürecini açıklayamaktayım:

Hedef Sistem Bilgisi Toplama: Öncelikle, hassas sistem bilgisi toplamak gerekir. PowerShell veya Windows komut istemcisini kullanarak gerekli komutların çıktıları alınabilir.
```
Get-ChildItem C:\Path\To\Target -Force
```
Hard Link Oluşturma: Zafiyetin temelinde, AppX Deployment Service’in sert bağlantıları yanlış yönetmesi yatmaktadır. Aşağıda örnek bir sert bağlantı oluşturma kodu verilmiştir:
```
New-Item -ItemType HardLink -Path "C:\Path\To\Link" -Target "C:\Path\To\RealFile.exe"
```
AppX Uygulaması Yükleme: Sert bağlantı ile oluşturulan dosyanın, AppX uygulaması olarak yüklenecek şekilde yapılandırılması gerekir. Windows uygulamalarının yapısına göre ".appx" dosyasının bulunması veya oluşturulması önemlidir.
Yetki Yükseltme: Saldırgan, sert bağlantıyı yükledikten sonra, sistemin güvenlik kontrollerini aşarak yönetici (administrator) yetkileri ile çalışmaya başlayabilir.
Pozitif Test Süreci: Zafiyetin etkisini doğrulamak için aşağıda verilen komutu kullanarak sistemde yönetici ayrıcalıklarına sahip olup olunmadığını kontrol edebilirsiniz:
```
whoami /groups
```

Real-world senaryolarında, bu zafiyetin kötüye kullanılması, saldırganların yerel bir hesaptan uzak sistemlere erişim sağlaması veya şirket içi verilere gizlice erişim elde etmeleri sonucunu doğurabilir. Aşağıda örnek bir HTTP isteği ile kötü maksatlı bir uygulama yükleme süreci bulunmaktadır:

POST /appx/package/upload HTTP/1.1
Host: target-ip
Content-Type: application/x-appx
Content-Length: [length]

[appx-package-data]

Sonuç olarak, CVE-2019-1130, bir Windows sisteminde ciddi güvenlik ihlallerine yol açabilecek kritik bir zafiyettir. AppX Deployment Service’in yanlış sert bağlantı yönetimi, saldırganların yerel yetkilerle sınırlı kalmaksızın daha yüksek yetkiler kazanmasına zemin hazırlamaktadır. Bu tür zafiyetlerin tespit edilmesi, sistem yöneticilerinin dikkatli durumda olmalarını gerektiriyor ve siber güvenlik uzmanlarının sürekli olarak güncel bilgiye sahip olmasını zorunlu kılıyor. Herhangi bir güvenlik açığının kötüye kullanılmasını önlemek için güncel sistem yamalarının (patches) uygulanması ve güvenlik pratiklerinin izlenmesi büyük önem taşımaktadır.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2019-1130, Microsoft Windows AppX Deployment Service (AppXSVC) içinde bulunan bir yetki yükseltme (privilege escalation) zafiyetidir. Bu zafiyet, Windows kullanıcılarının sistemde izinlerini artırarak kötü niyetli uygulamaları veya kodları çalıştırma imkanına sahip olmasına olanak tanır. Bu tür zafiyetler, genellikle sistem yöneticisi yetkilerine sahip olmanın sağladığı avantajları kullanarak daha fazla kontrol elde etmek isteyen siber saldırganlar tarafından hedef alınır.

Bu bağlamda, bir siber güvenlik uzmanının CVE-2019-1130 gibi bir zafiyeti tespit edebilmesi için, belirli log kayıtlarını ve SIEM (Security Information and Event Management) sistemlerini dikkatlice incelemesi gerekmektedir. Zafiyet, AppXSVC’nin doğru bir şekilde hard link'leri (sert bağlantılar) işleyememesi nedeniyle meydana gelmektedir. Dolayısıyla, bir saldırgan zafiyeti istismar ettikten sonra sistem üzerinde iz bırakan log kayıtları ortaya çıkacaktır.

Siber güvenlik uzmanı, AppX Deployment Service’in düzgün çalışıp çalışmadığını anlamak için özellikle aşağıdaki log kayıtlarını gözden geçirmelidir:

Access Log'lar: Bu loglar, kullanıcının sisteme ne zaman giriş yaptığını, hangi işlemleri gerçekleştirdiğini ve hangi kaynaklara eriştiğini gösterir. AppX Deployment Service'in erişim log'ları incelenerek, yetkisiz veya normalin dışında kalan erişim denemeleri tespit edilebilir.
Error Log'lar: Hata logları, sistemde oluşan hataların kaydedildiği loglardır. Eğer CVE-2019-1130 gibi bir zafiyeti kullanan bir saldırgan sistemde hatalı bağlantılar ya da işlemler yaratmışsa, bu durum hata log'larına yansıyabilir. Özellikle "AppXSVC" ile ilgili hatalar detaylı bir şekilde incelenmeli ve olağan dışı işlemler için analiz yapılmalıdır.

Zafiyeti tespit etmek için siber güvenlik uzmanı aşağıdaki imzalara (signature) dikkat etmelidir:

Sert Bağlantı Ile İlgili Hata Mesajları: Hard link kullanımı ile ilgili olarak "Access Denied" ya da "Invalid Operation" gibi hata mesajları, potansiyel bir istismar girişimi hakkında işaret edebilir.
Sıklıkla Tekrar Eden İşlem Girişimleri: Bir kullanıcının belirli bir işlemi beklenmedik şekilde sık yapması, yetki yükseltme girişimlerini işaret edebilir.
Normal Dışı Kullanıcı Davranışları: Yüksek yetkili hesapların normal dışı zaman aralıklarında (örneğin gece yarısı) erişim sağlaması dikkat çekici bir durumdur.

Örnek bir log analizi senaryosu üzerinden gidecek olursak, bir sistem yöneticisi sabah uyanıp Access Log’larda aşağıdaki gibi anormal bir erişim kaydı ile karşılaşabilir:

2023-10-01 02:30:15 UserID: 1001 Action: Access AppX Deployment Service
Status: Success

Bu kayıt, bir kullanıcının normal saat dilimlerinin dışında AppX Deployment Service’e eriştiğini gösterir. Eğer aynı kullanıcı bir anda sistemde yönetici yetkileri ile işlem yapmaya çalıştıysa, bu durum ciddi bir tehdit işareti olabilir.

Sonuç olarak, bir siber güvenlik uzmanı, CVE-2019-1130 gibi zafiyetlerin tespitinde log analizine büyük önem vermelidir. Log kayıtlarındaki olağan dışı aktiviteleri, hata mesajlarını ve kullanıcı davranışlarını izlemek, herhangi bir potansiyel tehdidin önceden fark edilmesi açısından kritik bir öneme sahiptir. Böylece sistemleri bu tür istismar girişimlerine karşı korumak mümkündür.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Windows işletim sistemlerinde bulunan CVE-2019-1130 zafiyeti, Windows AppX Deployment Service (AppXSVC) tarafından gerçekleştirilen hatalı hard link (sert bağlantı) işlemlerinden kaynaklanan bir yetki yükseltme (privilege escalation) açığıdır. Bu tür zafiyetler, kötü niyetli bir kullanıcının sistemdeki izinlerini artırarak, yetkisiz erişimler gerçekleştirmesine yol açabilir. Potansiyel saldırganlar, bu açığı kullanarak sistem üzerindeki kontrolü ele geçirebilir ve önemli verilere ulaşabilirler.

Zafiyetin temelinde, AppXSVC'nin hard link işlemlerini güvenli bir şekilde idare edememesi yatmaktadır. Eğer bir saldırgan, bu hizmeti hedef alarak uygunsuz bir hard link oluşturabilirse, kullanıcı bilgisayarında daha yüksek yetkilere (örneğin, yönetici izinlerine) ulaşabilir. Bu tür senaryolar, bir saldırganın sistemin güvenlik duvarını (firewall) aşarak kritik verilere erişim sağlamasını mümkün kılabilir.

Zafiyetin etkilerini en aza indirmek için alınabilecek savunma ve sıkılaştırma (hardening) önlemleri şunlardır:

Sistem Güncellemeleri: Microsoft, zafiyeti gidermek için güncellemeler sağlamıştır. İşletim sistemi ve ilgili uygulamaların sürekli olarak güncel tutulması, bu tür zafiyetlerin kötüye kullanılmasını engellemenin en etkili yollarından biridir. Güncellemeler genellikle yeni güvenlik yamaları içerir ve savunmada önemli rol oynar.
Yerel Güvenlik Politikasının Düzenlenmesi: AppXSVC gibi hizmetlerin yetkilerini sınırlandırmak, yetki yükseltme saldırılarına karşı ek bir koruma katmanı sağlayabilir. Örneğin, sadece gerekli kullanıcıların bu hizmetlere erişim izni olması sağlanmalıdır.
Firewall ve WAF Kuralları: AppXSVC’nin kötüye kullanılmasını önlemek için, ağ üzerinde uygulanacak olan Web Uygulama Güvenlik Duvarı (WAF) kuralları oluşturarak bu servise yönlendirilen istekleri izlemek ve filtrelemek mümkündür. Örneğin, aşağıdaki gibi bir kural seti kullanılabilir:

   if request.method == "GET" and "/AppXSVC" in request.url:
       BlockRequest()

Bu tür kurallar, yetkisiz erişimleri tespit etmek ve engellemek için kullanılabilir.

Güvenlik İzleme ve Olay Yönetimi: Sistem üzerinde anormal aktivitelerin tespit edilmesi için güvenlik izleme araçlarının kullanımı artırılmalıdır. Olay Günlükleri (Event Logs) sürekli izlenmeli ve kaydedilmelidir. Herhangi bir şüpheli aktivite varlığında hızlı müdahale mümkün hale gelecektir.
Kısıtlı Kullanıcı Hesapları: Kullanıcıların, yalnızca ihtiyaç duydukları yetkilere sahip olmaları sağlanmalıdır. Yönetici hakları yalnızca gerekli durumlarda verilmelidir. Bu noktada, kullanıcıların sistemdeki privilige escalation (yetki yükseltme) açığını kullanma olasılıkları en aza indirilmiş olur.
Uygulama Güvenliği: Uygulamaların kodunun güvenliğinin sağlanması, buffer overflow (tampon taşması) veya authorization bypass (yetki atlatma) gibi zafiyetlerin önlenmesi için kritik öneme sahiptir. Özellikle dışardan gelen verilerin doğrulanması, sistem güvenliğini artırmaktadır.

Sonuçta, CVE-2019-1130 zafiyetini önlemek için alınacak bu önlemler, sadece bu spesifik açığın etkilerini azaltmakla kalmayıp, aynı zamanda genel sistem güvenliğini de artıracaktır. White Hat Hacker perspektifinden bakıldığında, tehditlerin sürekli geliştiği bir ortamda, düzenli olarak güvenlik politikalarının gözden geçirilmesi ve güncellenmesi büyük önem taşımaktadır. Bu şekilde, şirketler ve bireyler, siber tehditlerle daha etkili bir şekilde başa çıkabilirler.