CVE-2020-0938: Microsoft Windows Adobe Font Manager Library Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2020-0938, Microsoft Windows işletim sistemlerinin Adobe Font Manager Library (Adobe Yazı Tipi Yöneticisi Kütüphanesi) içinde mevcut olan bir uzaktan kod yürütme (Remote Code Execution - RCE) zafiyetidir. Bu zafiyet, özellikle çoklu-master font’lar (Adobe Type 1 PostScript formatı) ile işleme aşamasında ortaya çıkar. Microsoft’un önemli bir kütüphanesi olan Adobe Font Manager, hem yazı tipi işleme hem de görüntüleme işlevselliği sağlamak için kullanılan kritik bir bileşendir. Özellikle bu zafiyet, Windows 10 dışındaki tüm sistemlerde uzaktan kod yürütülmesine olanak tanırken, Windows 10 üzerinde yalnızca “AppContainer” kumanda bağlamında güvenli bir şekilde kod yürütülmesine izin vermektedir.

Zafiyetin tarihine göz attığımızda, ilk olarak 2020 yılı başlarında keşfedildiği anlaşılmaktadır. Bilgi güvenliği araştırmacıları, çok sayıda kullanıcıyı etkileyebilecek potansiyele sahip olan bu kusuru keşfettikten sonra Microsoft'a bildirimde bulunmuşlardır. Microsoft, zafiyeti kapatmak için bir düzeltme güncellemesi yayınlamış olsa da, zafiyetin kendisi daha önceki sürümlerde bulunan bir hata koruması eksikliğinden kaynaklanıyordu. Bu durum, daha büyütülmüş bir saldırı yüzeyi yaratmıştır.

CVE-2020-0938 zafiyeti, kullanıcıların sistemlerine kötü niyetli yazılımlar yüklenmesine neden olabilecek bir çok senaryoya kapı aralamaktadır. Örneğin, bir saldırgan, hedef bir sistemde bir belgeye veya bir resme kötü niyetli bir yazı tipi yerleştirerek bu faydalı yükü yüklemeyi başarabilir. Kurban, bu dosyayı açtığında, sistemdeki zafiyetten yararlanarak uzaktan kod yürütme işlemini gerçekleştirebilir.

Tüm sektörlerde potansiyel bir tehdit arz eden bu zafiyet, belirli başlı sektörlerde de önem kazandı:

Eğitim: Öğrencilerin ve akademik personelin kullandığı bilgisayarlar, güvenlik açığına maruz kalma riski taşımaktadır.
Sağlık: Sağlık hizmetleri sunan kurumlar, hastaların kişisel verileri üzerinde hassasiyet gerektiren işlemler yaparken, bu tür zafiyetler nedeniyle büyük risk altına girmektedir.
Finans: Bankalar ve finansal kuruluşlar, müşteri verilerini korumakla yükümlü olduğundan, Adobe Font Manager kütüphanesindeki bu zafiyet, müşteri bilgilerinin tehlikeye girmesi riskini doğurmaktadır.

CWE-787 (Out-of-bounds Write - Aralık Dışı Yazma) gibi bir açıklamanın altında yer alan bu zafiyet, sistemlerin nasıl etkilenebileceğine dair de düşünmemizi gerektiriyor. Saldırganlar, yazılımın bellek yönetiminde yaşanabilecek hatalardan faydalanarak, bellek alanlarını istedikleri gibi manipüle edebilirler. Böylece, kötü niyetli kodların çalıştırılmasına olanak tanırlar.

Sonuç olarak, Microsoft’un bu zafiyeti kapatmak için aldığı tedbirler oldukça önemlidir. Kullanıcıların sistemlerini güncel tutmaları ve gelen güncellemeleri uygulamaları, uzun vadede siber saldırılara karşı koruma sağlamak açısından hayati bir önem taşımaktadır. Özellikle güvenlik uzmanları, bu tür zafiyetlerin tespit edilmesi ve önlenmesi için sürekli bir değerlendirme ve güncelleme sürecini benimsemelidirler. Bu tür güvenlik açıklarına karşı bilgi ve farkındalık artırmak, siber güvenlik alanında kritik bir adım oluşturmaktadır.

Teknik Sömürü (Exploitation) ve PoC

CVE-2020-0938, Microsoft Windows'un Adobe Font Manager Library'sindeki bir uzaktan kod çalıştırma (Remote Code Execution - RCE) zafiyetidir. Özel olarak hazırlanmış multi-master fontlarının (Adobe Type 1 PostScript formatı) işlenmesi sırasında ortaya çıkan bu zafiyet, sistemlerin büyük bir kısmını etkileyebilir. Ancak, Windows 10 üzerinde exploit (sömürü) gerçekleştirildiğinde, kötü niyetli bir saldırgan yalnızca sınırlı ayrıcalıklara sahip bir AppContainer sandbox ortamında kod çalıştırabilir.

Teknik sömürü aşamalarını anlamak için aşağıdaki adımları ayrıntılı bir şekilde inceleyelim:

Hedef Tespiti: İlk olarak, hedef sistemin zafiyet altında olup olmadığını belirlemek gerekir. Bu, özellikle kurumsal ağlarda çeşitli Windows sürümlerinin varlığı açısından önemlidir. Hedef sistemin sürüm bilgileri, Windows Update ile güncellemelerini kontrol ederek öğrenilebilir.
Özel Font Yaratma: Zafiyetten faydalanmak için özel olarak kötü amaçlı bir multi-master font dosyası oluşturulmalıdır. Bu dosya içerisinde, font formatının hatalarından yararlanarak bellek taşması (Buffer Overflow) yaratacak veri olması gerekmektedir.

Örnek bir Python kodu ile kötü amaçlı font dosyası yaratma işlemi:

   from struct import pack

   # Kötü niyetli veriler ile dosya oluşturma
   payload = b"A" * 1024  # Bellek üzerinde taşma yaratacak veri
   with open("malicious_font.pfm", "wb") as f:
       f.write(payload)

Sömürü Aracı Oluşturma: Söz konusu zafiyeti sömürmek için bir araç gereklidir. Bu araç, oluşturulan kötü niyetli fontu kullanarak hedef sistemde kod çalıştırma işlemi gerçekleştirecektir.

Sömürü kodu örneği:

   import requests

   target = "http://target-system:port/path/to/font"
   files = {'font': open('malicious_font.pfm', 'rb')}

   response = requests.post(target, files=files)
   print(response.text)

Siedo Saldırısı: Kötü niyetli font dosyası, hedef sistemde ilgili uygulamanın font yükleyici bileşeni tarafından işlenmek üzere gönderilir. Böylece, kullanıcı bir belgeyi açtığında ya da belirtilen uygulama çalıştırıldığında exploit tetiklenecektir. Bu nedenle, bu işlemi kullanıcı etkileşimi gerektiren bir senaryo ile gerçekleştirmek çoğu zaman daha iyi sonuçlar verir.
Kod Çalıştırma: Eğer exploit başarılı olursa, saldırgan hedef sistemde önceden belirlenen kodu çalıştırabilir. Windows 10 sistemlerde bu kod, sınırlı ayrıcalıklarla çalıştırılacaktır. Ancak diğer Windows sürümlerinde, bir saldırgan tam kontrol elde edebilir.

Ayrıca, bu tür zafiyetlerin tespit edilmesi ve sömürülerinin önlenmesi için sistemlerin düzenli olarak güncellenmesi kritik bir öneme sahiptir. Geliştiricilerin, uygulamalarını güvenlik açıklarına karşı güçlendirmeleri, kullanıcıların ise yalnızca güvenilir kaynaklardan dosya ya da font yüklemeleri gerektiği unutulmamalıdır.

Zafiyetlerin keşfi ve sömürüsü, siber güvenlik alanında deneyim kazanmak isteyen "White Hat Hacker"lar için değerli bir fırsat sunar. Ancak bu tür faaliyetlerin yalnızca etik kurallar çerçevesinde ve yasal çerçevede gerçekleştirilmesi gerektiğinin altını çizmek önemlidir. Bu bilgiler, sistemlerinizi korumak ve güvenlik açığı tespiti yapmak isteyen güvenlik uzmanları için yol gösterici bir kaynak niteliği taşımaktadır.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Windows'un Adobe Font Manager Library'sinde bulunan CVE-2020-0938 zafiyeti, kötü niyetli kullanıcıların uzak sistemlerde kod çalıştırmasını sağlayan bir güvenlik açığıdır. Özellikle çoklu master font'ları işleme alırken ortaya çıkabilecek bu zafiyet, yalnızca Windows 10 dışındaki tüm sistemlerde uzaktan kod yürütülmesine (Remote Code Execution - RCE) olanak tanır. Windows 10 üzerinde başarılı bir şekilde istismar edildiğinde, bir saldırgan kodu sınırlı yetkilere sahip bir AppContainer sandbox ortamında çalıştırabilir.

Bir "White Hat Hacker" olarak, böyle bir saldırının gerçekleştiğini tespit edebilmek için, adli bilişim (forensics) ve log analizi becerilerinizin önemi büyüktür. Saldırıların izini sürmek, sistemlerin güvenliğini sağlamak ve olası tehditleri belirlemek adına kullanacağınız log dosyalarını etkin bir şekilde analiz etmek oldukça kritik bir rol oynamaktadır.

Bir sistemde CVE-2020-0938 ile ilgili bir saldırının kaydedilip kaydedilmediğini anlamak için, Security Information and Event Management (SIEM) sistemlerinde veya log dosyalarında dikkat etmeniz gereken belirli imzalar ve olaylar bulunmaktadır. Özellikle aşağıdaki adımları ve log türlerini incelemeniz faydalı olacaktır:

Access Log'lar: Kullanıcıların erişim girişimleri hakkında bilgi veren bu loglar, şüpheli IP adreslerinin mevcut olup olmadığını kontrol etmenizi sağlar. Özellikle, çok sayıda hatalı giriş denemesi veya şüpheli kullanıcı etkinlikleri, potansiyel bir saldırganın izini sürürken dikkatlice incelenmelidir.
Error Log'lar: Hatalı işlemler veya uygulama çökmeleri, bir saldırının izlerini taşıyabilir. Adobe Font Manager Library ile ilgili hatalar, belirli bir formatta dönüştürülmeye çalışılan fontlardan kaynaklanan hatalar içerebilir. Bu tür hatalar, kötü niyetli bir yükleyicinin sisteme sızmaya çalıştığına dair ipuçları verebilir.
Application Log'lar: Uygulama seviyesinde, özellikle Adobe ürünü olan font yöneticisiyle ilgili olayları araştırmalısınız. Burada, şüpheli veya başarıyla gerçekleştirilen font yüklemeleri dikkatle incelenmelidir.
SIEM Araçları İle İzleme: SIEM çözümleri, ağ trafiğini ve log verilerini merkezi bir yerde toplayarak anomali tespiti yapmanıza olanak tanır. Özellikle grafiksel analiz ve detaylı raporlama gibi özellikler, meydana gelen şüpheli aktiviteyi hızlıca ortaya çıkarabilir. RCE'nin potansiyel tehdit anlarını belirlemek için SIEM sistemi üzerinden "Unusual Font Process Activity" (Sıradışı Font İşlem Etkinliği) gibi imzalara göz atmanızda fayda var.

Örnek bir log satırını ele alacak olursak:

Error: Font processing failed for [malicious-font.ps] at [timestamp]

Yukarıdaki satır, kötü niyetli bir fontun elle yüklenmeye çalışıldığını gösteriyor olabilir. Bir "White Hat Hacker" olarak bu tür belirti ve ipuçlarını toplamak, çift yönlü bir analiz yapmanıza yardımcı olur.

Sonuç olarak, CVE-2020-0938 gibi istismar edilebilir zafiyet vermeyen bir ortam oluşturmak, sürekli bir gözlem, analitik düşünme ve şüpheli aktivitelere yönelik hızlı bir yanıt gerektirir. Eğer bir saldırı gerçekleşmişse, adli bilişim incelemeleri yaparak elde edilen verileri değerlendirmeniz, sistemlerinizi güven altında tutmak açısından son derece kıymetlidir.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Windows Adobe Font Manager Library (AFML) zafiyeti, çeşitli sürümlerde remote code execution (uzaktan kod yürütme) yapma imkanı sunmasıyla önemli bir güvenlik açığıdır. Bu zafiyet, kötü niyetli kişilerin özel olarak hazırlanmış mult-master fontları kullanarak sistem üzerinde kontrol sağlamasına olanak tanır. Bu tür bir saldırı, yeterli bilgiye sahip bir saldırgan için hedef sistemde ciddi hasar yaratabilir ve veri kaybına yol açabilir. Dolayısıyla, saldırı vektörlerini minimize etmek ve sistemleri sıkılaştırmak son derece önemlidir.

Bu açığın etkilerini azaltmak için öncelikle sisteminizin güncel olduğundan emin olmalısınız. Microsoft, bu tür zafiyetler için genellikle güvenlik güncellemeleri ve yamaları yayımlar. Kötü niyetli bir saldırganın bu açığı kullanarak sistem üzerinde tam kontrol sağlamasını önlemek için, Windows Update aracılığıyla sunulan güncellemeleri düzenli olarak uygulamak kritik bir basamaktır. Ancak yalnızca güncellemeye güvenmek yeterli olmayabilir.

Firewall (güvenlik duvarı) ve WAF (Web Uygulama Güvenlik Duvarı) kuralları da sistemlerinizi korumada önemli bir rol oynar. WAF, özellikle web uygulamalarını hedef alan saldırıları önlemek için yapılandırılabilir. Kötü niyetli kullanıcıların Adobe Font Manager Library aracılığıyla sisteme sızmalarını engellemek için aşağıdaki gibi ek WAF kuralları oluşturabilirsiniz:

# Adobe Font yükleme isteği ile ilgili CORS başlıklarını kısıtla
SecRule REQUEST_HEADERS:Origin "^(?!http(s)?://güvenlikalanı.com).*" "id:1000001,deny,status:403"

# URL gereksinimleri ile font formatlarını kısıtla
SecRule REQUEST_URI "@endsWith .pfb" "id:1000002,deny,status:403"

Ayrıca, sistem donanımınızı ve yazılımınızı da sıkılaştırmalısınız. Aşağıda önerilen başlıca kalıcı sıkılaştırma adımları yer almaktadır:

Uygulama ve servislerin minimum erişim ayrıcalıklarıyla çalışmasını sağlamak: Kullanıcı hesapları ve uygulama izinleri, yalnızca gerekli izinlerle sınırlı olmalıdır. Örneğin, yalnızca belirli uygulamalar için yönetici yetkileri vermek, potansiyel saldırganların hareket alanını daraltır.
Mikro segmentasyon kullanın: Ağlarınızdaki sistemler arasında mikro segmentasyon uygulayarak, saldırganların herbir sisteme erişimini kısıtlayabilirsiniz. Böylece bir sistemin ele geçirilmesi durumunda diğer sistemlerin güvenliğini koruma şansı artar.
Güçlü bir olay tespiti ve yanıt mekanizması geliştirin: Sistemlerinizde şüpheli etkinlikleri tespit etmek ve bu tür saldırılara anında yanıt verebilmek için uygun monitörleme ve loglama araçları kurmalısınız. Anomalilerin hızlı bir şekilde fark edilmesi, potansiyel bir zafiyeti istismar etme girişimini durdurmak için kritik öneme sahiptir.
Eğitim ve farkındalık artırımı: Kullanıcıların ve güvenlik ekiplerinin, zafiyetler ve tesisat protokolleri hakkında eğitilmesi, saldırıların önlenmesi adına en etkili yöntemlerden biridir. Özellikle sosyal mühendislik saldırıları hakkında farkındalık, sistemlerinizi koruma açısından büyük önem taşır.

Adobe Font Manager Library'ye yönelik CVE-2020-0938 zafiyetinin istismarına karşı alınacak sıklıkla gözden geçirilmesi gereken önlemler, sistem güvenliğinizi artıracak ve potansiyel saldırı vektörlerini minimuma indirecektir. Güvenlik duvarı yapılandırmalarınızı ve uygulama izinlerinizi sürekli gözden geçirmek, en iyi uygulamaları benimseyerek proaktif bir güvenlik stratejisi geliştirmeniz, sistemlerinizi daha az kırılgan hale getirecektir.