CVE-2019-1297: Microsoft Excel Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2019-1297, Microsoft Excel'de uzaktan kod yürütme (Remote Code Execution - RCE) zafiyeti olarak bilinen bir güvenlik açığıdır. Bu zafiyet, yazılımın bellek içindeki nesneleri düzgün bir şekilde işleyemediği durumlarda ortaya çıkar. Bu tür zafiyetler, kötü niyetli kullanıcıların hedef sistemde zararlı kod çalıştırmasına olanak tanır ve dolayısıyla büyük tehlike arz eder.

Bu zafiyet, 2019 yılında keşfedilmiş ve Microsoft, bunu gidermek için bir dizi güncelleme yayınlamıştır. Excel'in, gerek yerel ağlarda gerekse internet üzerinden dosyaların paylaşılması esnasında sıklıkla tercih edilen bir uygulama olması nedeniyle, bu zafiyetin etkisi geniş bir yelpazede hissedilmiştir. İşte bu noktada, dünya genelindeki etkisinden bahsetmek önemlidir. Eğitim kurumları, finansal kuruluşlar, sağlık sektörleri ve devlet daireleri gibi birçok sektör, bu zafiyetten etkilenmiş olup, kullanıcıların Excel belgesi açmasıyla sistemlerine sızma riski taşımaktadırlar.

CVE-2019-1297 zafiyeti, özellikle bellek yönetimi ile ilgili bir hata nedeniyle meydana gelmektedir. Yazılımın iç yapısında yer alan belirli kütüphaneler, bellek alanını yönetirken hatalı bir yapı sergilemekte ve bu, kötü niyetli kullanıcıların bu hatayı kullanarak kendi kodlarını çalıştırmalarına sebep olmaktadır. Örneğin, bir kullanıcı kötü niyetli bir Excel dosyasını açtığında, bellek içindeki nesnelerin yanlış yönetimi nedeniyle, sistemdeki tüm verilere erişim hakkı kazanabilir.

Pratik bir senaryo ele alındığında, bir kullanıcı, şifrelenmemiş bir e-posta veya anonim bir dosya paylaşım platformu aracılığıyla gelen kötü niyetli bir Excel dosyasını açabilir. Açılan bu dosya, bellek içindeki nesneleri hedef alarak uzaktan kod yürütme imkanı sağlayabilir. Böyle bir durumda, sisteme sızan kötü niyetli yazılım, kullanıcı bilgilerini çalabilir, dosyaları şifreleyebilir veya başka zararlı faaliyetlerde bulunabilir. Bu tür senaryolar, yalnızca bireysel kullanıcıları değil, aynı zamanda kurumsal ağlara da büyük güvenlik tehditleri oluşturmaktadır.

Güvenlik yazılımları, bu tür zafiyetlere karşı savunmalar geliştirmekte ve kullanıcıların bu tür tehditlerden korunmasına yardımcı olmaktadır. Ancak, kullanıcıların da dikkatli olması gerekmektedir. Güvenilir olmayan kaynaklardan gelen dosyaların açılmaması, güncel antivirus yazılımları ile sistemlerin korunması, kullanıcılara bu tür zafiyetlerin tehlikelerinden korunma imkanı sunmakta önemli bir rol oynamaktadır.

Sonuç olarak, CVE-2019-1297 zafiyeti, Microsoft Excel kullanan herkes için ciddi bir tehdit oluştururken, bu tür uzaktan kod yürütme (RCE) zafiyetlerinin önlenmesi adına kullanıcıların güvenlik farkındalığını artırmaları büyük önem taşımaktadır. Unutulmamalıdır ki, doğru bilgi ve dikkatli kullanım, siber güvenlik alanında en etkili kalkanlardandır.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Excel üzerinde mevcut olan CVE-2019-1297 zafiyeti, kötü niyetli bir kullanıcının sistem üzerinde uzaktan kod çalıştırmasına (Remote Code Execution - RCE) olanak tanır. Bu tür zafiyetler, özellikle kurumsal ortamlarda büyük güvenlik riskleri oluşturur; çünkü kötü niyetli bir kişi, sistemde istenmeyen bir yazılım çalıştırarak veri çalabilir, sistemleri etkisiz hale getirebilir veya daha ciddi saldırılarda bulunabilir.

Zafiyetin teknik temellerine geldiğimizde, Microsoft Excel'in bellek nesnelerini (memory objects) uygun bir şekilde işleyememesi sonucunda bu güvenlik açığının ortaya çıktığını görmekteyiz. Bu durum, bir saldırganın özel olarak hazırlanmış bir Excel dosyası aracılığıyla zafiyeti tetikleyerek kendi kodunu çalıştırabilmesine olanak tanır.

Zafiyetin sömürü aşamalarını adım adım inceleyelim.

Zafiyeti Anlama: İlk önce, CVE-2019-1297'nin nasıl çalıştığını anlamalıyız. Excel, kullanıcılardan gelen verileri işlerken bellek yönetiminde hatalar yapabiliyor. Yetersiz bellek kontrolü, bir buffer overflow (tampon taşması) saldırısı vektörü için fırsatlar yaratabilir. Saldırgan, bellek alanına zarar verecek şekilde özel bir dosya oluşturur.
Özel Dosya Hazırlama: Potansiyel kurbanlar tarafından açılmayı bekleyen bir Excel dosyası hazırlayın. Uzmanlık gerektiren bu adımda, zayıf noktalardan yararlanarak Excel ortamını manipüle edecek nesneler eklemelisiniz. Python kullanarak bir Excel dosyası oluşturmak için 'openpyxl' veya 'xlsxwriter' kütüphanelerinden faydalanabilirsiniz. Aşağıdaki örnek, basit bir Excel dosyası oluşturma kodunu göstermektedir:

   import openpyxl

   wb = openpyxl.Workbook()
   ws = wb.active
   ws['A1'] = 'Test'
   # Zafiyeti tetiklemek için gerekli veriler buraya eklenmelidir
   wb.save('vulnerable_file.xlsx')

Saldırı Testi: Hazırladığınız dosyayı, zafiyetin hedef alabileceği bir ortamda (örneğin, Excel kurulu bir Windows sistemi) açarak test edin. Dosya açıldığında, bellek hatası tetiklenebilir ve buradan uzaktan kodunuzu çalıştırmak için bir Payload (yük) eklemelisiniz. Gerçekleştirilecek bu işlem için, sistemininyetkilerini de göz önünde bulundurarak, etkili bir kod geliştirmelisiniz.
HTTP İletişimi ve Geri Dönüş: Eğer sisteminize başarıyla erişim sağlarsanız, uzaktan istediğiniz komutları çalıştırabilirsiniz. Örneğin, bir Python web sunucusu kurarak, komutlarınızı geri alacak bir yapı geliştirebilirsiniz. Aşağıda basit bir HTTP sunucusu örneği bulunmaktadır.

   from http.server import BaseHTTPRequestHandler, HTTPServer

   class S(SimpleHTTPRequestHandler):
       def do_GET(self):
           self.send_response(200)
           self.send_header('Content-type', 'text/html')
           self.end_headers()
           self.wfile.write(b'Kodunuz burada!')

   HTTPServer(('localhost', 8080), S).serve_forever()

Raporlama ve Alarm: White Hat Hacker perspektifinden, böyle zafiyetlerin bir gün karşınıza çıkabileceğini unutmamalısınız. Özellikle kurumsal sistemlerde zafiyetlerin tespit edilmesi ve düzeltilmesi için zamanında raporla sürecinizi tamamlayın. Bu, hem siz hem de hedef sistem için güvenliği artıracak bir adımdır.

Sonuç olarak, CVE-2019-1297 gibi güvenlik açıkları, doğru teknik bilgi ve pratikle etkili bir şekilde sömürülebilir. Ancak, etik bir yaklaşımı benimsemek ve bu bilgileri sadece güvenlik testleri ve koruma amaçlı kullanmak, siber dünyada kritik öneme sahiptir. Sömürü amaçlı yöntemler yerine, zafiyetlerin kapatılması ve sistemlerin güvenliğini artırılması gerektiği bilinci ile hareket edilmelidir.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2019-1297, Microsoft Excel'deki uzaktan kod yürütme (Remote Code Execution - RCE) zafiyetlerinden birisidir ve kötü niyetli bir aktör, Excel dosyası aracılığıyla kullanıcı sisteminde zararlı kod çalıştırma imkanı bulabilir. Bu tür zafiyetler, özellikle kurum içi kullanıcıların Excel dosyalarını sıkça kullandığı durumlarda ciddi tehlikeler oluşturur. Excel dosyalarının açılması, gerçek zamanlı verilere hızlı erişim sağlarken aynı zamanda yetkisiz kişilere sızma fırsatı da verebilir. Dolayısıyla, bu tür zafiyetlerin tespiti ve yönetimi, adli bilişim (forensics) ve log analizi açısından büyük önem taşımaktadır.

Siber güvenlik uzmanları, CVE-2019-1297 gibi zafiyetleri tespit etmek için SIEM (Security Information and Event Management) sistemlerini ve log kayıtlarını analiz etmelidir. İlk olarak, kullanıcıların Excel dosyalarını açtığı işlem kayıtlarına bakmak gerekir. Log dosyalarında sıklıkla incelemeniz gereken birkaç anahtar imza şunlardır:

Başlangıç Zamanı ve Kullanıcı: Excel uygulamasının ne zaman ve hangi kullanıcı tarafından başlatıldığına dair kayıtlar.
Excel Dosya İsimleri: Kullanıcıların açtığı dosyaların isimleri. Şüpheli veya alışılmadık dosya adları dikkat çekici olabilir.
Uygulama Kayıtları: Windows Event Log gibi uygulama loglarında Excel ile ilgili hatalar veya uyarılar. Örneğin, bellek erişim hataları veya beklenmedik uygulama kapanma durumları.
Dosya Yükleme/Kalıtma: Kullanıcıların Excel üzerinden uzak kaynaklardan dosya yüklediği durumlar. Genellikle kötü amaçlı dosyalar dışarıdan yüklenir.

Log dosyalarındaki bu kayıtların içeriğini inceleyerek, bellek yönetimi ve nesne işleme hatalarının gözlemlenebilmesi için şu tür sorgulamalar yapılabilir:

SELECT * FROM event_logs WHERE application = 'Excel'
AND (event_type = 'Error' OR event_type = 'Warning')
AND timestamp BETWEEN '2023-01-01' AND '2023-12-31';

Bunların yanı sıra, Excel'den alınan hatalarda “Invalid Memory Access” veya “Memory Corruption” gibi mesajlar da zararlı bir faaliyetin kanıtı olarak değerlendirilmelidir. Eğer bu tür mesajlar bir kullanıcının Excel dosyalarını açtığı herhangi bir sekansta belgelendi ise, bu durum daha fazla inceleme gerektirebilir.

Doğru bir analiz, olası RCE saldırılarının önlenmesine yardımcı olabilir. Ayrıca, zararlı yazılımlar Excel uygulaması aracılığıyla çalıştırıldığında ağ trafiğinde de anormallikler görülebilir. Gerçek dünya senaryolarında, kullanıcıların şüpheli dosyaları açtıktan sonra sistemde kaydedilen şüpheli network aktiviteleri de tespit edilebilir.

Son olarak, kurumsal düzeyde kullanıcıların Excel dosyalarını kullanımı üzerinde ek kontroller ve eğitimler sağlamak, bu tür saldırılara karşı alınacak önlemlerden biridir. Kullanıcıların yalnızca güvenilir kaynaklardan gelen dosyaları açmaları ve e-posta eklerinde gönderilen dosyalar konusunda dikkatli olmaları yönünde bilgilendirmeler yapılmalıdır.

Bütün bu inceleme ve tespit süreçleri, sadece bir zafiyetin gelişimini önlemekle kalmaz, aynı zamanda kurumların siber güvenlik politikalarını güçlendirmeye de yardımcı olur.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Excel, yaygın olarak kullanılan bir ofis yazılımıdır ve aynı zamanda birçok siber saldırganın hedefi olabilecek karmaşık yapıları barındırır. CVE-2019-1297 zafiyeti, uzaktan kod yürütme (Remote Code Execution - RCE) yeteneğine sahip bir güvenlik açığıdır. Bu açık, yazılımın hafızadaki nesneleri yeterince iyi yönetememesi nedeniyle ortaya çıkar. Saldırganlar, bu zafiyet aracılığıyla sistemlerde istenmeyen değişiklikler yapabilir veya kötü amaçlı yazılımlar yükleyebilir.

Güvenlik açığını önlemek ve Microsoft Excel'in güvenliğini artırmak, her kurum için büyük bir önem taşır. Koruma stratejileri arasında yazılım güncellemeleri, güvenlik duvarları ve diğer sıkılaştırma (hardening) teknikleri yer alır.

Excel’in zafiyetini kapatmanın en etkili yolu, yazılımın en son güncellemelerinin yüklenmesidir. Microsoft, bu tür güvenlik açıklarını düzenli olarak patch (yaman) eder. Kullanıcıların, yapılan güncellemeleri takip etmeleri ve yüklemeleri gerektiği konusunda bilinçlenmeleri önemlidir. Gündelik yaşamda kavramsal olarak düşünecek olursak, bir çalışanın zararlı bir Excel dosyasını açması durumunda, eğer yazılım güncellenmemişse, bu açıktan faydalanmak kolay olacaktır. Dolayısıyla, kurum genelinde güncelliği sağlamak için otomatik güncellemelerin etkinleştirilmesi önerilir.

Diğer bir güvenlik önlemi, web uygulama güvenlik duvarları (Web Application Firewall - WAF) kullanmaktır. WAF’lar, uygulama katmanındaki saldırılara karşı koruma sağlar. Örneğin, Excel dosyaları üzerinde çalışan bir web uygulaması varsa, WAF'ın belirli kurallarla yapılandırılması, potansiyel RCE saldırılarını önleyebilir. Aşağıda, bir WAF’nin Excel dosyası ile ilgili kuralları için örnek bir yapılandırma verilmiştir:

SecRule ARGS:excel_file "(?i)(.xls|.xlsx|.xlsm|.xlsb|.xlt|.xltx)$" "id:12345,phase:2,pass,nolog,ctl:requestBodyAccess=On"
SecRule REQUEST_METHOD "POST" "id:12346,phase:2,t:none,t:urlDecodeUni,deny,status:403"

Bu kurallar, yalnızca belirli Excel dosyası uzantılarını kabul eder ve şüpheli POST isteklerini engeller. Bu sayede kötü amaçlı dosyaların sunucuya yüklenmesi önlenmiş olur.

Kalıcı sıkılaştırma önerileri arasında, sistemlerin ve uygulamaların kullanıcı erişim kontrollerinin sağlanması da yer alır. Bu durumda, Excel dosyalarının sadece belli başlı kullanıcılar tarafından açılabilir ve düzenlenebilir olması kritik öneme sahiptir. Örneğin, bir şirket içinde sadece belirli yetkilere sahip yöneticilerin Excel dosyalarını açmasına izin verilmesi, güvenliği artıracaktır.

Son olarak, kullanıcı eğitimi de sıkılaştırma sürecinde büyük bir rol oynar. Çalışanlar, tehlikeli dosyaları açmamaları ve şüpheli bağlantılara tıklamamaları konusunda eğitilmelidir. Zira, RCE saldırıları genellikle insan hatasından kaynaklanır. Kullanıcıların bilinçlendirilmesi, teknikte bir güvenlik katmanı daha oluşturacaktır.

Sonuç olarak, CVE-2019-1297 gibi güvenlik açıklarıyla başa çıkmak için çok yönlü bir yaklaşım benimsemek gereklidir. Yazılım güncellemeleri, WAF kullanımı, sıkı erişim kontrolleri ve kullanıcı eğitimi, bu tür risklerin en aza indirilmesine yardımcı olur. Teknolojik altyapınızı düzenli olarak gözden geçirip, sıkılaştırma önlemlerini güncel tutmak, hem veri güvenliğinizi artırır hem de olası saldırıların önüne geçer.