CVE-2019-5786: Google Chrome Blink Use-After-Free Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Google Chrome, modern web tarayıcıları arasında en çok kullanılanlardan birisi olup, sürekli olarak güncellemeler ve güvenlik yamaları ile kullanıcılarının güvenliğini sağlamaya çalışmaktadır. Ancak, CVE-2019-5786 gibi zafiyetler, tarayıcı içindeki bileşenlerin karmaşıklığı nedeniyle ortaya çıkabiliyor. Bu zafiyet, Google Chrome’un temel bileşeni olan Blink motorunda bulunan bir heap use-after-free (heap kullanımdan sonra serbest bırakma) açığını ifade eder. Kullanıcı, zararlı bir HTML sayfası aracılığıyla bu açığı istismar edebilir ve potansiyel olarak uygulama zincirinde dışarıdan bellek erişimi (out of bounds memory access) gerçekleştirebilir.

CVE-2019-5786'nın tarihçesi, 2019'un başlarına kadar uzandığı bilinen bir durumu işaret ediyor. Zafiyet, Blink motorunun hafıza yönetimindeki bir hatadan kaynaklanıyor. Heap kullanımdan sonra serbest bırakma, bir nesnenin serbest bırakıldıktan sonra hala erişim sağlanabilen bir hafıza alanında saklanması nedeniyle gerçekleşir. Bir saldırgan, bu hatayı kullanarak bellek alanında istenmeyen bir okuma veya yazma işlemi gerçekleştirerek 'Remote Code Execution' (RCE - Uzaktan Kod Çalıştırma) gibi daha ciddi saldırılar için kapıları açabilir.

Bu tür bir zafiyetin etkileri geniş bir yelpazeye yayılıyor. Özellikle finansal hizmetler, sağlık, eğitim, kamu ve teknoloji sektörleri gibi birçok kritik sektörde çalışan kullanıcıları etkileyebilir. Örneğin, bir banka çalışanı, zararlı bir web sayfasını ziyaret ettiğinde, bu zafiyet üzerinden kötü niyetli bir kişinin, çalışanının bilgisayarı üzerinde yetki kazanarak hassas bilgilere erişim sağlaması mümkündür.

Zafiyetin etkili olduğu kütüphane olan Blink içerisinde, HTML ile ilgili pek çok işlem yapılmaktadır. Zafiyetin temelinde, çeşitli içeriklerin dinamik olarak yönetilmesi sırasındaki hatalar yatıyor. Kullanıcı etkileşimleri ve içeriğin dış kaynaklardan (örneğin, sosyal medya paylaşımları veya reklamlar) yüklenmesi sırasında, bellek alanlarının yanlış yönetilmesi bu tür bir açığa sebebiyet veriyor.

Gerçek dünya senaryosunda, bir saldırganın CVE-2019-5786'yı istismar etmesiyle, bir kullanıcı zararlı bir HTML sayfasını açtığında tarayıcı üzerinde kontrol elde edebilir ve bu kontrolü kullanarak sistemdeki diğer uygulamalara veya veri kaynaklarına erişim sağlayabilir. Örneğin, bir kullanıcı tarayıcısı üzerinden bir online bankacılık hizmetine giriş yapmışsa, saldırgan bu bilgileri ele geçirerek kullanıcının hesabına erişim sağlayabilir.

Sonuç olarak, CVE-2019-5786 zafiyeti, Google Chrome kullanıcıları için ciddi bir tehdit oluşturmaktadır. Bu tür zafiyetlerin varlığı, kullanıcıların güncel yazılımları kullanmalarını ve tarayıcı güvenlik ayarlarını düzenli olarak kontrol etmelerini zorunlu kılıyor. "White Hat Hacker" olarak, sistemlerin güvenliğini artırmak ve bu tür açıkların daha fazla istismar edilmesini önlemek adına güvenlik güncellemelerini ve yamaları takip etmek, oldukça kritik bir adım.

Teknik Sömürü (Exploitation) ve PoC

Google Chrome Blink'inde bulunan CVE-2019-5786 zafiyeti, potansiyel olarak saldırganların ayarlanmış bir HTML sayfası aracılığıyla bellekte istenmeyen alanlara erişim sağlamasına olanak tanıyan bir heap use-after-free (heap kullanımdan sonra serbest bırakma) güvenlik açığıdır. Bu tür kullanımdan sonra serbest bırakma zafiyetleri, yazılım uygulamalarındaki bellek yönetiminde kritik bir hatadır. Başarılı bir şekilde istismar edildiğinde, bu tür zafiyetler uzaktan kod çalıştırma (RCE - Remote Code Execution) veya bellekteki hassas verilere erişim sağlamak için kullanılabilir.

Bu zafiyetin sömürü sürecine göz atalım. İlk olarak, bir saldırganın hedefi olan bir kullanıcıya özel olarak tasarlanmış bir HTML sayfası hazırlaması gerekmektedir. Kullanıcı, zafiyetten etkilenen bir Chrome sürümü kullanıyorsa ve bu sayfayı ziyaret ederse, saldırı süreci başlatılmış olacaktır.

HTML Sayfasının Tasarımı: Saldırgan, kullanılacak HTML sayfasını oluşturur. Bu sayfa, bellek yönetimindeki kullanımdan sonra serbest bırakma (use-after-free) problemini tetikleyen öğeler içermelidir. Örnek olarak, aşağıdaki gibi bir HTML sayfası oluşturulabilir:

   &lt;!DOCTYPE html&gt;
   &lt;html&gt;
   &lt;body&gt;
   &lt;script&gt;
       var obj = {};
       function triggerVulnerability() {
           delete obj; // Kullanımdan sonra serbest bırakma
           // Burada obj kullanılmaya çalışabilir.
           console.log(obj);
       }
       triggerVulnerability();
   &lt;/script&gt;
   &lt;/body&gt;
   &lt;/html&gt;

Bu basit JavaScript kodu, obj öğesinin silinmesini sağlayarak bellek alanında bir kontrole yol açacaktır. Kullanıcı, bellek alanına erişim sağladığınızda, saldırganın kodunu yerleştirebilmesi için gerekli olan ortam hazır hale gelmiş olur.

Sızdırılan Bellek Uygulamalarının Tasarımı: Kullanıcı sayfayı ziyaret ettiğinde, bellek sızıntısına neden olan durumu tetiklemiş olur. Daha sonra, bellek alanındaki tehlikeli verilere erişmek için JavaScript gibi dinamik bir dil kullanılarak kötü amaçlı kodun çalıştırılması sağlanabilir. Çeşitli manipülasyonlar, bu durumun daha da kötüye gitmesini sağlayabilir. Örneğin:

   // Belleği manipüle etmek için örnek kötü amaçlı kod
   var shellcode = "Kötü Amaçlı Kod"; // Burada shellcode'u tanımlayın
   eval(shellcode); // Kodu çalıştır

HTTP İstek/Yanıt Örnekleri: Başarıyla kodu çalıştırmak için kullanıcıdan istenen verileri toplamak adına HTTP istekleri kullanılabilir. Örnek bir HTTP isteği ise şu şekilde görünebilir:

   POST /vulnerable-endpoint HTTP/1.1
   Host: target-website.com
   Content-Type: application/json

   {
       "data": "saldırgan verileri"
   }

Bu istek, kullanıcıdan alınan bilgilerin hedef sunucuya gönderilmesini sağlayacaktır. Yanıt olarak, hedef sunucu, veri üzerinde işlem yapmayı sağlayabilir.

Son Adım: İstşam Elde Etme: Tüm adımlar tamamlandığında, saldırgan artık hedef sistem üzerinde izinsiz bir erişime sahip olabilir. Bu aşamada, sistem üzerinde herhangi bir işlem gerçekleştirmek için daha fazla kötü amaçlı yazılım yüklenebilir veya sistemin kontrolü tamamen ele geçirilebilir.

CVE-2019-5786 zafiyeti üzerinden gerçekleştirilen bu tür bir teknik sömürü, genelde kötü niyetli aktörler tarafından uygular. Ancak, beyaz şapkalı hackerlar, bu tür açıkları belirlemek ve sistemleri daha güvenli hale getirmek için kullanmalıdır. Unutulmamalıdır ki bu tür zafiyetlerin istismar edilmesi yasal olarak ciddi sonuçlar doğurabilir ve yalnızca etik hacking (etik sızma testleri) amacıyla gerçekleştirilmelidir.

Forensics (Adli Bilişim) ve Log Analizi

Google Chrome'un Blink bileşeni, kötü niyetli bir kullanıcının belirli bir HTML sayfası aracılığıyla heap üzerinde kullanımdan sonra serbest bırakma (use-after-free) zafiyeti kullanarak bellek erişimini amacı dışında kullanmasına olanak tanır. Bu tür zafiyetler, siber güvenlik uzmanları için ciddi bir tehdit oluşturur ve bu nedenle olay müdahale süreçlerinde dikkatlice izlenmelidir. Forensics (adli bilişim) ve log analizi, bu tür saldırıları tespit etmede kritik bir rol oynamaktadır.

Heap kullanımdan sonra serbest bırakma zafiyeti, saldırganların bellekteki hassas verilere erişim sağlamasına veya kötü amaçlı kod çalıştırmasına olanak tanır. Gerçek dünya senaryolarında, bir kullanıcı sahte bir web sitesine tekrar tekrar girdiğinde veya bu sahte web sitesinden bir dosya indirdiğinde, saldırganlar bu zafiyeti hedef alabilir. Örneğin, bir HTML sayfasına gizlenmiş kötü amaçlı JavaScript kodu, kurbanın bilgisayarında yürütüldüğünde bu tür bir zafiyetin etkilerini artırabilir.

SIEM (Security Information and Event Management - Güvenlik Bilgisi ve Olay Yönetimi) sistemleri ve log dosyaları, bu tür bir saldırıyı tespit etmek için önemli bir kaynak sağlar. Siber güvenlik uzmanları, potansiyel bir saldırının izini sürmek için çeşitli log dosyalarındaki belirli imzaları incelemelidir.

Access log (erişim logu) ve error log (hata logu) gibi log dosyalarında aşağıdaki imzalara dikkat etmek önemlidir:

Şüpheli URL Erişimleri: Hedef sistemle yaklaşık zamanlarda yapılan anormal veya şüpheli URL erişimleri. Örneğin:

   GET /malicious-page.html HTTP/1.1

Kötü Amaçlı İçerik İhlalleri: HTML sayfalarında veya JavaScript dosyalarında bilinmeyen veya şüpheli kod parçacıkları. Örnek:

   &lt;script src="http://malicious.com/exploit.js"&gt;&lt;/script&gt;

Beklenmeyen İstek Yöntemleri: HTTP isteklerinde GET yerine POST gibi beklenmeyen yöntemlerin kullanımını izlemek. Örneğin:

   POST /path/to/resource HTTP/1.1

Çoklu Başlıklar: Anormal başlık farklılıkları veya içerik türleri içeren talepler. Örnek:

   Content-Type: text/html; charset=utf-8

Olay Kayıtları: Log kayıtlarında, bellek hataları veya bellek üzerindeki beklenmeyen durumlar için belirli hata mesajları. Örnek bir hata mesajı:

   malloc error - attempt to access freed memory

Siber güvenlik uzmanları, yukarıda belirtilen imzaları ve log kalıplarını analiz ederek, bir kullanımdan sonra serbest bırakma zafiyetinin etkilerini tespit edebilir ve gerektiğinde müdahale süreçlerini başlatabilirler. Ayrıca, bu tür zafiyetlerin önlenmesi için güvenlik yamalarını zamanında uygulamak da kritik bir öneme sahiptir. Gerçek zamanlı log analizi, olay müdahalesi ve sistem güvenliğinin artırılması için sürekli bir denetleme süreci oluşturulmalıdır.

Sonuç olarak, bu tür zafiyetleri tespit etmek ve önlemek için forensik analiz ve log incelemesi yapılmalıdır. Böylece potansiyel saldırılar erkenden farkedilerek gerekli önlemler alınabilir ve siber güvenlik alanında güçlü bir savunma mekanizması oluşturulabilir.

Savunma ve Sıkılaştırma (Hardening)

Google Chrome'un Blink bileşeninde yer alan CVE-2019-5786 zafiyeti, kullanıcının zararlı bir HTML sayfası ile karşılaşması sonucunda heap use-after-free (yığın kullanımdan sonra serbest bırakma) açığına neden olabilmektedir. Bu zafiyet, bir saldırganın bellek erişiminde sınır dışına çıkmasına (out of bounds memory access) olanak tanır. Bu tür açıklar, siber saldırganların uzaktan kod çalıştırma (RCE) gibi istismarlar gerçekleştirmelerine yol açabilir.

Bu tür zafiyetlerin varlığı, firmaların ve bireylerin internet tarayıcıları ve eklentileri üzerinde sıkı güvenlik önlemleri almalarını zorunlu kılmaktadır. Özellikle işletmeler, kritik verilerin ve ağların güvende kalmasını sağlamak için proaktif bir güvenlik yaklaşımı benimsemelidir. İşte bu doğrultuda, CyberFlow platformu için ortaya koyulabilecek savunma ve sıkılaştırma stratejileri:

Tarayıcı Güncellemeleri: Tarayıcıların en güncel sürümlerinin kullanılmasını sağlamak, zafiyetlerin istismar edilme riskini büyük ölçüde azaltır. Google Chrome, güvenlik güncellemelerini düzenli aralıklarla yayınlamaktadır. Dolayısıyla, otomatik güncellemelerin açık olduğundan emin olunmalıdır.
JavaScript Devre Dışı Bırakma: Zararlı bir HTML sayfasında sıkça kullanılan JavaScript kodlarının etkisini minimize etmek adına, güvenilmeyen kaynaklardan gelen sayfalarda JavaScript'in devre dışı bırakılması önerilmektedir. Tarayıcı ayarlarından veya eklentiler yardımıyla bu işlem gerçekleştirilebilir. Ancak, bu adım bazı web sayfalarının işlevselliğini etkileyebilir, bu nedenle dikkatli bir değerlendirme yapılması gerekmektedir.
Web Uygulama Güvenlik Duvarı (WAF) Kuralları: Web uygulama güvenlik duvarları, kötü niyetli trafik ve kod enjekte etme saldırılarına karşı koruma sağlar. WAF kuralları, belirli zararlı davranışları tespit edip engelleyecek şekilde yapılandırılmalıdır. Örneğin:

   SecRule REQUEST_URI "@contains /malicious-path" "id:1001, phase:2, deny, status:403"

Bu kural, belirli bir URL yolunu içeren isteklere karşı koruma sağlar ve bu tür bir trafik tespit edildiğinde isteği engeller.

Sıfır Güven (Zero Trust) Modeli: Ağ içi ve dışı tüm trafiği güvenilmeyen olarak kabul eden sıfır güven modeli, kullanıcı ve cihazların sürekli olarak kimlik doğrulamasını ve yetkilendirilmesini gerektirir. Bu, yalnızca güvenilir cihazların kritik verilere erişimini sağlamaya yardımcı olur.
Kapsayıcı Güvenlik Politikaları: Kullanıcıların tarayıcılarında çalışan eklentilerin ve uzantıların güvenliğini kontrol etmek önemlidir. Bu tür bileşenlerin sık sık gözden geçirilmesi, kullanıcıların yalnızca güvenilir uzantıları yüklemelerini sağlamaya yardımcı olur.
Eğitim ve Bilinçlendirme: Çalışanların bilgilendirilmesi, hayati öneme sahiptir. Siber güvenlik konusunda düzenlenen eğitim programları, kullanıcıların zararlı içeriklere karşı duyarlılıklarını artıracak ve bu tür zafiyetlerden korunmalarını sağlayacaktır.

Zafiyetlerin varlığı, siber güvenlik alanında sürekli dikkat gerektiren bir durumdur. Kullanıcıların ve işletmelerin bu tür saldırılara karşı mücadele edebilmek için çok katmanlı bir güvenlik mimarisi oluşturması hayati öneme sahiptir. Elde edilen başarı, yalnızca teknolojik çözümler ile değil, aynı zamanda insanların eğitimine ve farkındalığına bağlıdır.