CVE-2020-0878: Microsoft Edge and Internet Explorer Memory Corruption Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2020-0878, Microsoft Edge ve Internet Explorer (IE) tarayıcılarında bulunan bir bellek bozulması (memory corruption) zafiyetidir. Bu zafiyet, kötü niyetli bir kullanıcının mevcut kullanıcı bağlamında kod çalıştırmasına (RCE - Uzaktan Kod Çalıştırma) olanak tanımaktadır. Zafiyetin etkisi, hem bireysel kullanıcılar hem de kurumsal yapıların güvenliği için son derece ciddidir, bu sebeple detaylı bir analiz yapmak oldukça önemlidir.

Zafiyetin kökenleri, Microsoft’un tarayıcılarının Javascript motoru içinde yatan hatalara dayanmaktadır. Bellek bozulması, genel olarak bellek yönetiminde yaşanan hatalardan kaynaklanmaktadır ve saldırganlar, bu durumu istismar ederek hedef sistem üzerinde yetki kazanabilirler. CVE-2020-0878'deki kritik hata, özellikle Microsoft Edge ve Internet Explorer'ın bellek yönetimi sırasında ortaya çıkmış, kullanıcıların dikkatini çekmeden kod çalıştırmak için kullanılabilecek bir açık yaratmıştır. Bu durum, farklı yazılım kütüphanelerinin ve özellikle de tarayıcı motorlarının karmaşık etkileşimlerinde gözlemlenmektedir.

Gerçek dünya senaryolarına değinmek gerekirse, bu zafiyet üzerinden gerçekleştirilen saldırılar, genellikle kullanıcıların zipli dosya (archive) içindeki zararlı içerikleri açmalarıyla başlar. Saldırgan, kurbanı sosyal mühendislik yöntemleriyle kandırarak bu dosyayı açmasını sağladıktan sonra, bellek bozulmasını tetikleyebilir. Örneğin, bir e-posta ile orijinal bir belge gibi görünen bir bağlantı gönderseler ve bu bağlantı aracılığıyla zararlı bir yazılıma yönlendirme yaparlarsa, hedef kitlenin cihazında önemli bir güvenlik açığı yaratılmış olur.

Bu zafiyet, yalnızca bireysel kullanıcıları değil, aynı zamanda sağlık, finansal hizmetler ve kamu hizmetleri gibi çeşitli sektörleri de etkilemektedir. Örneğin, sağlık sektöründeki hastaneler, önemli hasta bilgileri barındıran sistemlerine yönelik saldırılara karşı savunmasız hale gelebilir. Bir siber saldırganın, hastanelerdeki kritik verilere erişmek için bu zafiyeti kullanması, sonuçları bakımından son derece tehlikelidir.

Sektörel etkilerin yanında, bu tür zafiyetlerin genel güvenlik durumu üzerinde de yıkıcı etkileri olabilir. Kurumsal ağlar, zayıf bir güvenlik politikası benimserse, benzer zafiyetlerin zamanla artmasına yol açabilir. Örneğin, bir şirketin IT departmanı, eski yazılımların güncellenmemesi ve güvenlik yamalarının uygulanmaması durumunda, tüm ağa yayılan bir RCE saldırısına maruz kalabilir.

Sonuç olarak, CVE-2020-0878, hem teknik detayları hem de potansiyel etkileri bakımından son derece önemli bir bellek bozulması zafiyetidir. White Hat Hacker perspektifinden bakıldığında, bu tür zafiyetlerin tespit edilmesi, analiz edilmesi ve önlenmesi amacıyla sürekli olarak güncel kalmak ve gelişen tehditleri takip etmek gerekmektedir. Siber tehditlere karşı proaktif bir yaklaşım benimsemek, hem kullanıcıların hem de organizasyonların güvenliğini artırmak açısından kritik bir öneme sahiptir.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Edge ve Internet Explorer’da bulunan CVE-2020-0878 zafiyeti, bellek bozulması (memory corruption) sorununa dayanıyor. Bu zafiyet, kötü niyetli bir kullanıcının sistem içerisinde mevcut kullanıcının izinleriyle uzaktan kod çalıştırma (Remote Code Execution - RCE) imkanına sahip olmasına yol açabilir. Bu tür bir zafiyet, bir web sayfasının özel yapısıyla veya kötü niyetli yazılımlar aracılığıyla kullanıcıları hedefleyerek sömürülebilir.

Zafiyetin işleyiş biçimini anlamak için ilk önce bellek bozulması kavramını incelemek gereklidir. Bellek bozulması, bir programın belleği yetkisiz biçimde kullanması sonucunda oluşan bir durumdur. Bu durumda meydana gelen hatalar, kötü niyetli bir kullanıcının, yüklü olan yazılımlar üzerindeki kontrollerini kaybetmeden, bellekteki belirli veri parçalarına erişim sağlamasına olanak tanır.

Gerçek dünya senaryosuna bakacak olursak, bir kullanıcı kötü niyetli bir web sayfasına girdiğinde veya zararlı bir bağlantıya tıkladığında, CVE-2020-0878 zafiyeti üzerinden istismar (exploitation) gerçekleştirilebilir. Kötü niyetli yazılımlar, bu tür bir zafiyeti kullanarak kullanıcı bilgisayarında uzaktan kod çalıştırabilir. Bu durumda, kullanıcının sistemine sızmak için belirli aşamaların takip edilmesi gerekmektedir.

İlk adım olarak, hedef sistemde hangi versiyonun çalıştığını tespit etmek önemlidir. Microsoft Edge ve Internet Explorer’ın güncellenmemiş eski sürümleri bu zafiyete açıktır. Bunun için hedef sistemin HTTP header bilgilerini kontrol edebiliriz.

import requests

url = "http://hedef.site"
response = requests.get(url)
print(response.headers)

İkinci aşamada, bellek bozulması üzerinde etkili bir yük oluşturmak (payload) gerekmektedir. Bu aşamada, bir JavaScript yükü oluşturup saldırı gerçekleştirebiliriz. Örneğin, aşağıdaki gibi basit bir JavaScript yükü hazırlamak mümkündür:

&lt;script&gt;
  // Kötü niyetli kod
  var exploit = "your_malicious_code";
  eval(exploit);
&lt;/script&gt;

Üçüncü adım, bu yükü kullanıcıya ulaştırmaktır. Kullanıcının bu yükü çalıştırmasını sağlamak için, hedef kullanıcıyı ikna edici bir e-posta veya zararlı bir bağlantı ile yönlendirmek gerekecektir.

Bir diğer yöntem ise, yaratılan yükü sabit bir web sayfasında barındırmak ve kullanıcıyı bu sayfaya yönlendirmektir. Böylece, kullanıcı bu sayfayı ziyaret ettiğinde, JavaScript yükü çalışarak sistemdeki bellek üzerinde bozulmalar gerçekleştirebilir.

Sistem hedef alındıktan ve bellek bozulması sağlandıktan sonra, sistem içerisinde yürütülebilecek zararlı kodları çalıştırmak için yetkisiz erişim sağlanabilir. Bu aşamada, saldırganın amacı genellikle veri çalmak, kötü niyetli yazılımlar kurmak veya izleme sistemleri yerleştirmek gibi işlemlerdir.

PoC (Proof of Concept) aşamasında, aşağıdaki Python exploit kodu bir temel oluşturabilir:

import socket

server_ip = "hedef_ip"
port = 1234
payload = b"A" * 1000 + b"malicious_code_in_hex"

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((server_ip, port))
s.send(payload)
s.close()

Bu tarz bir exploit, saldırganın hedef sistemde uzaktan kod çalıştırmasını sağlar. Ancak, bu tür işlemler yalnızca etik siber güvenlik araştırmaları ve pentesting (penetrasyon testi) için kullanılmalıdır.

CVE-2020-0878 zafiyetinin farkında olmak ve gerekli güncellemeleri sağlamak, bu tür saldırılara karşı etkili bir savunma mekanizması oluşturacaktır. Dolayısıyla, kullanıcıların ve sistem yöneticilerinin güncel yazılımlerini kontrol etmeleri, güvenlik politikalarını sıkılaşmaları ve bilinçlendirme eğitimlerini düzenlemeleri büyük önem taşır. Bu sayede, bellek bozulması gibi zafiyetlerin önüne geçilebilir ve siber saldırılara karşı daha dayanıklı bir sistem elde edilebilir.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Edge ve Internet Explorer'daki CVE-2020-0878 zafiyeti, bellek koruma hataları nedeniyle etkileyici bir siber saldırı vektörü sunmaktadır. Bu zafiyet, kullanıcıların tarayıcıda gezindiği sırada kötü niyetli bir yazılımın çalışmasına olanak tanıyabilir. Dolayısıyla, bu tür bir zafiyeti tespit etmek ve olası zararları en aza indirmek için adli bilişim (forensics) ve log analizi çok kritik bir rol oynamaktadır.

Saldırgan, bu zafiyeti kullanarak uzaktan kod yürütme (RCE - Remote Code Execution) gerçekleştirebilir. Tarayıcıda yüklü olan kötü niyetli bir web sayfası veya bağlantı aracılığıyla, bellek bozulması (memory corruption) sağlanarak kurbanın sisteminde istenmeyen işlemler yapılabilir. Bu tür bir saldırının izlerini tespit etmek için log dosyalarının dikkatlice incelenmesi, siber güvenlik uzmanları için hayati önem taşımaktadır.

Log analizi yaparken, öncelikle erişim logları (Access Logs) ve hata logları (Error Logs) üzerinde çalışmalısınız. Log dosyalarında dikkat edilmesi gereken bazı imzalar (signature) şunlardır:

Beklenmeyen HTTP Yanıt Kodları: Normalde bir web sayfasına erişim sağlandığında, HTTP 200 yanıt kodunu bekleriz. Ancak, saldırganın kötü niyetli kodu yüklemeye çalışırken karşılaşabileceği doğrulama hataları (Authentication Bypass) veya farklı hatalar (403, 404) gözlemlenebilir. Bu tür yanıt kodları, potansiyel bir saldırının belirtisi olabilir.
Anormal Trafik Desenleri: Normal trafiğin dışında, belirli IP adreslerine veya belirli URL’lere yönlendiren artan istek sayıları dikkat çekici olabilir. Özellikle tarayıcı uzantılarından gelen isteklerin ve sahte sayfalara yönlendiren linklerin varlığı skandal olabilir. Olası bir RCE girişimini anlamanın yollarından biri de burada yatan anormal trafik artışıdır.
Kötü Niyetli Dosyaların Yüklenmesi: Log kayıtlarında, tarayıcıda veya istemci tarafında yüklenen dosyaların detaylı bir incelemesi yapılmalıdır. Eğer *.exe, *.dll ya da hedef tarayıcıyı etkileyebilecek herhangi bir dosya türü izin verilmeden yükleniyorsa, bu durum bir bellek bozulması saldırısının izleri olabilir.
Tarayıcı Hataları: Tarayıcı logları içerisinde sıkça karşılaşılan "memory corruption" hataları, uzaktan kod yürütme saldırılarının göstergesi olabilir. Örneğin, tarayıcının belirli bir işlevini çağırırken, sistemin bellek alanında yaşanan tutarsızlıklar bu hatanın belirtisidir. Belirli bir yöntemle ilgili hata mesajları kaydedilmişse, sisteminizin hedef alındığına dair bir işaret olabilir.
Anormallik Tespiti: SIEM (Security Information and Event Management) araçlarınızda anormallik tespiti yapmak, olası saldırıları önceden görmek için etkili bir yöntemdir. Log dosyalarındaki alışılmadık kalıpları belirlemek için makine öğrenimi teknikleri kullanarak zafiyetlerin kök sebeplerini derinlemesine inceleyebilirsiniz.

Adli bilişim çalışmalarında bu tür logların dikkatli bir şekilde analizi, CVE-2020-0878 gibi zafiyetlerin etkin bir şekilde tespit edilmesine ve bunlara yönelik önleyici tedbirlerin alınmasına yardımcı olacaktır. Kötü niyetli aktiviteleri takip etmek ve bu tür zaafiyetlere karşı proaktif bir yaklaşım sergilemek, kurumların siber güvenlik duruşlarını güçlendirecektir. Unutulmamalıdır ki, siber güvenlik bir maraton ve proaktif adımlar atılmazsa bu yarış kaybedilir.

Savunma ve Sıkılaştırma (Hardening)

CVE-2020-0878, Microsoft Edge ve Internet Explorer’da bulunan ve kullanıcının mevcut oturumu içerisinde kötü niyetli kodların çalışmasına olanak tanıyan bir bellek bozulma zafiyetidir (memory corruption vulnerability). Bu tür açıklar, siber güvenlik açısından oldukça kritik durumlara yol açabilir ve bu nedenle gerekli önlemleri almak önemlidir. Bu yazıda, bu zafiyeti kapatmanın yollarına, alternatif firewall (WAF) kurallarına ve kalıcı sıkılaştırma önerilerine derinlemesine bakacağız.

Zayıf bir kod yapısı, bellek bozulma zafiyetlerinin başlıca nedenlerinden biridir. Örneğin, bir uygulama içinde belirli bir buffer’a (tampon) beklenenden fazla veri yazılması durumunda, bu buffer overflow (tampon taşması) riski doğar. Böyle bir durumda bir saldırgan, bu açığı kullanarak uzaktan kod çalıştırma (RCE - Remote Code Execution) yeteneğine sahip olabilir. Bu tür zafiyetler, genellikle uygulamanın yazıldığı dillerdeki hatalardan kaynaklanır; özellikle C ve C++ gibi dillerde bellek yönetimi manuel olarak yapıldığından, hata payı olarak daha yüksek bir risk taşır.

CVE-2020-0878 zafiyetini kapatmanın en etkili yolu, Microsoft’un sağladığı güncellemeleri kurmaktır. Microsoft, bu zafiyeti kapatmak için birkaç yamanın yanı sıra yazılım güncellemeleri ile kullanıcıların bilgisayarlarını güvenli hale getirmeyi hedeflemektedir. Bu tür güncellemelerin düzenli aralıklarla kontrol edilmesi ve uygulanması, sistemin güvenliğini artıracaktır. Ek olarak, istemci tarafındaki uygulamaların düzgün bir şekilde sıkılaştırılması (hardening) da kritik bir adımdır.

Sıklıkla kullanılan web uygulamaları için uygulama güvenlik duvarları (Web Application Firewalls - WAF) kullanmak, bu tür saldırılara karşı ekstra bir katman koruma sağlar. Alternatif WAF kuralları ile bellek bozulma belirtilerini izleyen ve bu tür saldırıları önceden tespit eden kurallar oluşturulabilir. Örneğin:

SecRule REQUEST_HEADERS ".*" "phase:1, id:'100001', t:none, pass, log, msg:'Potential Memory Corruption Attempt Detected'"
SecRule RESPONSE_BODY ".*" "phase:2, id:'100002', t:none, deny, log, msg:'Possible XSS Attempt Detected'"

Bu kurallar, gelen ve giden trafik içinde potansiyel bellek bozulma saldırılarını tespit etmeye yardımcı olabilir. Hem uygulama geliştirme sürecinde hem de ağ mimarisinde alınacak bu tür önlemler, önemli bir güvenlik önlemi olacaktır.

Kalıcı sıkılaştırma yöntemleri olarak, sistem yöneticilerinin kullanıcı hesaplarını ve izinlerini düzenli olarak gözden geçirmesi önerilir. Kullanıcıların en az yetkiye sahip olması (principle of least privilege) ilkesine uygun olarak, yalnızca gerekli erişim haklarına sahip olmaları sağlanmalıdır. Bu nedenle, kullanılmayan hesapların devre dışı bırakılması veya silinmesi, bellek bozulma zafiyetlerini istismar eden saldırılara karşı bir önlem oluşturacaktır.

Ayrıca, uygulama güncellemeleri her zaman hızlı bir şekilde yapılmalı ve herhangi bir yeni zafiyet veya güncelleme açıkları izlenmelidir. Bütün bu önlemler, kullanıcıların ve sistemlerin olası saldırılara karşı daha dayanıklı hale gelmesine olanak tanır. Zafiyetlerin kapatılması, yalnızca yazılım güncellemeleri ile sınırlı kalmamalı; sistem ve uygulama güvenliği sürekli olarak izlenmeli ve güçlendirilmelidir. Unutulmamalıdır ki, cybersecurity bir maraton değil, bir sprinttir. Bu nedenle, sürekli ve proaktif güvenlik önlemleri almak sistemlerinizi korumak için kritik öneme sahiptir.