CVE-2020-16017: Google Chrome Use-After-Free Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2020-16017, Google Chrome'da tespit edilen kritik bir use-after-free (kullanımdan sonra serbest bırakma) zafiyetidir. Bu zafiyet, kötü niyetli bir saldırganın, özellikle tarayıcının renderer (işleyici) sürecini hedef alarak, hazırlanmış bir HTML sayfası aracılığıyla potansiyel bir sandbox escape (kapsama dışına çıkış) gerçekleştirmesine olanak tanır. Bu tür zafiyetler, genellikle hafıza yönetimindeki hatalardan kaynaklanır ve sonuç olarak, saldırganların sisteme daha derinlemesine erişim sağlamasına olanak verebilir.

Zafiyetin kökenine inildiğinde, bu hatanın tarayıcının HTML işleme kütüphanesinde meydana geldiği anlaşılmaktadır. Tarayıcılar, web sayfalarını işlerken dinamik bellek kullanımına başvururlar. URL’lerde bulunan HTML, JSON yanıtları veya diğer veri formatları ile etkileşimde bulunulması sırasında, belleğin etkin yönetilmemesi durumunda işlevlerden sonra kullanılmayan bellek bloklarına erişim sağlanması mümkündür. Zafiyetin nedeni, belleğin serbest bırakılmasından sonra bu belleğe erişim yapılabilmesidir.

Gerçek dünya senaryolarına değinmek gerekirse, bu tür bir zafiyetin, özellikle finans, sağlık ve eğitim sektörleri gibi yüksek güvenlik gereksinimleri olan alanlarda ciddi etkilere yol açabileceği söylenebilir. Örneğin, bir banka web sitesi kullanılarak geliştirilen sahte bir HTML sayfasıyla, kullanıcıların kimlik bilgileri çalınabilir.

Saldırganlar, bu tür bir zafiyeti kullanarak sisteme geri dönüş (RCE - Uzaktan Kod Yürütme) erişimi sağlayabilir. Öte yandan, yapılandırmalarda güvenlik mekanizmaları SSO (Single Sign-On - Tek Oturum Açma) ve iki faktörlü kimlik doğrulama gibi işlemleri devre dışı bırakırsa, kullanıcıların bilgilerine ulaşmak çok daha kolay hale gelir. Bu durum, kötü niyetli yazılımlar tarafından kullanılabilecek bir açığın oluşmasına zemin hazırlayabilir.

Zafiyetin dünya genelindeki etkisi bir hayli geniş kapsamlıdır. Örneğin, COVID-19 pandemisi sürecinde birçok eğitim kurumunun online platformlara geçiş yapması, bu tür zafiyetlerin hedef alınmasına neden oldu. Öğrencilerin ve öğretmenlerin sürekli olarak web tabanlı araçlar kullanması, saldırganlar için büyük bir fırsat sundu. Aynı şekilde, sağlık hizmetlerinin internet üzerinden erişilebilir hale gelmesi, hastaneler ve sağlık kuruluşlarının da hedef alınmasına yol açmıştır. Bu tür bir zafiyet sebebiyle, kritik verilere erişim kaybı ve bunun sonucunda maddi kayıplar yaşanabilir.

Sonuç olarak, zafiyetlerin analizi ve bu tür hataların giderilmesi, özellikle modern sistemlerin güvenliğinde oldukça önemli bir yer tutmaktadır. White Hat hacker’lar (beyaz şapkalı hackerlar) olarak, bu tür zafiyetlerin tespit edilmesi, etkilerinin analiz edilmesi ve raporlanması, siber güvenlik alanında kritik bir rol oynamaktadır. Kullanıcıların ve firmaların güvenliğini artırmak adına devamlı olarak güncellemeler yapılmalı ve alternatif güvenlik önlemleri alınmalıdır.

Teknik Sömürü (Exploitation) ve PoC

Google Chrome'da bulunan CVE-2020-16017 zafiyeti, bir use-after-free (kullanım sonrası serbest bırakma) zafiyeti olarak bilinir ve uzaktan bir saldırganın, renderer sürecini ele geçirerek kısıtlanmış bir ortamdan (sandbox) kaçmasına olanak tanır. Bu tür zafiyetler, uygulama veya sistem belleğinde serbest bırakılan bir kaynağa erişilmeye çalışıldığında ortaya çıkar ve potansiyel olarak kötü niyetli kodların çalıştırılmasına neden olabilir. Söz konusu zafiyet, belirli bir HTML sayfası aracılığıyla tetiklenmektedir. Bu bölümde, zafiyetin sömürü aşamalarını ve bir örnek PoC (Proof of Concept) içeriğini ele alacağız.

İlk adım, işletim sistemi ve Google Chrome'da gerekli ayarların yapılmasıdır. Bunun için güncel bir Google Chrome versiyonu kullanılmalıdır. Saldırı senaryomuzda, bir phishing (oltalama) sayfası oluşturarak kullanıcının bu sayfaya erişimini sağlamak isteriz. Bunun için HTML içeriği üzerinde bazı değişiklikler yapmamız gerekecek.

Sömürü Aşamaları

HTML Sayfasının Hazırlanması: Öncelikle, zafiyeti tetikleyen HTML içeriği hazırlanmalıdır. Aşağıda basit bir örnek verilmiştir:

&lt;!DOCTYPE html&gt;
&lt;html&gt;
&lt;head&gt;
&lt;title&gt;CVE-2020-16017 PoC&lt;/title&gt;
&lt;/head&gt;
&lt;body&gt;
&lt;script&gt;
var array = new Array(10);
for (var i = 0; i &lt; 10; i++) {
    array[i] = new Array();
}
array[0] = "Exploit starts here";
delete array[0]; // Kullanım sonrası serbest bırakma
// Burada kullanmak istediğimiz kodu ekleyebiliriz
&lt;/script&gt;
&lt;/body&gt;
&lt;/html&gt;

Kötü Amaçlı Yükün Yerlestirilmesi: HTML sayfasında, array[0] silindikten sonra tekrar erişim sağlayarak bellek üzerinde kontrol oluşturmamız gerekiyor. Bu noktada, eval() ve benzeri JavaScript fonksiyonları kullanarak, kötü amaçlı kodumuzu çalıştırabiliriz.
Saldırı ortamının oluşturulması: Hedef kullanıcının bu sayfayı açmasını sağlamak için sosyal mühendislik teknikleri kullanabiliriz. Kullanıcıyı bu sayfaya yönlendirecek bir e-posta veya mesaj gönderilebilir.

HTTP İstekleri

Saldırı senaryosu için HTTP istekleri ve yanıtlarının nasıl görüneceğini göstermek amacıyla basit bir örnek verebiliriz. Kullanıcı, sahte sayfayı açtığında tarayıcı sürümüyle ilgili bilgiler içeren bir HTTP istek gönderir.

Örnek HTTP İsteği:

GET /path/to/malicious/page.html HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.3

Örnek HTTP Yanıtı:

HTTP/1.1 200 OK
Content-Type: text/html
Content-Length: [length]

<!DOCTYPE html>
<html>
<head>
<title>CVE-2020-16017 Exploit</title>
<script>
...
</script>
</head>
<body>
...
</body>
</html>

Kötü Amaçlı Kodun Çalıştırılması: Kullanıcı, sahte HTML sayfasını açtıktan sonra belirli bir durumda kötü amaçlı kodumuz çalışarak istenmeyen eylemleri gerçekleştirebilir. Örneğin, kullanıcının bilgilerini çalmak veya uzaktan bir komut çalıştırmak.

Sonuç

CVE-2020-16017 gibi zafiyetler, dikkatli bir şekilde ele alınmalı ve güncel yazılımların özellikle tarayıcı güncellemelerinin takip edilmesi gerekmektedir. White Hat hacker’lar olarak, bu zafiyetleri keşfetmek ve sistem savunmalarını güçlendirmek adına, bilgilendirme ve eğitim süreçlerine odaklanarak kullanıcıları bu tür tehditsel durumlar hakkında bilinçlendirmeliyiz.

Forensics (Adli Bilişim) ve Log Analizi

Siber güvenlik alanında, özellikle de adli bilişim ve log analizi gibi kritik süreçlerde, her bir zafiyetin etkin bir şekilde tespit edilmesi ve analiz edilmesi büyük önem taşır. Bu yazıda, Google Chrome'daki CVE-2020-16017 (use-after-free zafiyeti) üzerinde odaklanarak, bu tür bir saldırı tespitinde hangi adımların atılması gerektiğini inceleyeceğiz.

Google Chrome'un bu zafiyeti, uzaktan bir saldırganın render sürecini ele geçirerek, kötü amaçlı bir HTML sayfası aracılığıyla sandbox dışına çıkmasını mümkün kılabiliyor. Bu, yani "sandbox escape" durumu, bir siber saldırganın, sınırlı bir ortamda çalışan uygulamaları atlayarak sistemi daha geniş bir şekilde etkileme potansiyeline sahip olması anlamına gelir. Özellikle RCE (Remote Code Execution - Uzaktan Kod Yürütme) senaryoları adına ciddi bir tehdit oluşturur.

Bir siber güvenlik uzmanı olarak, CVE-2020-16017 zafiyetinin kullanımına yönelik bir saldırının gerçekleştirildiğini tespit etmek için SIEM (Security Information and Event Management - Güvenlik Bilgisi ve Olay Yönetimi) sisteminde ve günlüklerde (log) birkaç belirti aramak gerekir. İşte dikkate almanız gereken bazı önemli noktalar:

İlk olarak, Chrome’un render sürecinin doğal akışını bozan herhangi bir olağandışı olayı izlemek gerekir. Özellikle access log (erişim kaydı) ve error log (hata kaydı) dosyalarında, bilinmeyen IP adreslerinden gelen isteklerin aniden artması dikkat çekici bir durum olabilir. Özellikle dinamik olarak oluşturulan içerikler veya belirli kullanıcı komutlarına anlık yanıt veren istekler, potansiyel bir saldırı işareti olabilir.

Ayrıca, aşağıdaki gibi imzalara (signature) dikkat edilmelidir:

Olağandışı User-Agent Değişiklikleri: Kullanıcı ajanı (User-Agent) değerinde görülen beklenmedik değişiklikler, tarayıcı emülasyonu gibi şüpheli davranışlar sergileyen kötü niyetli kodların izini taşıyabilir.
Yüksek CPU Kullanımı: Log dosyalarına göz atıldığında, Chrome'un yüksek CPU kullanımına düçar olduğu durumlar dikkatlice incelenmelidir. Bu genellikle üzerinde işlem yapılmayan, beklenmedik birçok işlem gerçekleştiren bir payload’ın (kötü amaçlı yazılım) belirti olabilir.
Olağandışı HTML/Yükleme İstekleri: Belirli bir URL yapısına sahip, beklenmedik sayfalar. Kötü amaçlı HTML sayfaları genellikle zararlı kullanıcı girişi içerebilir. Bu tür dosyaların yüklenmesini izlemek, potansiyel bir saldırıyı önceden tespit etmek adına büyük önem taşır.
Performans Düşüşleri: Sistem performansında beklenmedik düşüşler, bazen bir use-after-free zafiyetinin etkileri olabilir. Bu belirtiler, sistemin genel yanıt süresinin kötüleşmesi veya bulunan hatalardan kaynaklanabilir.

Bu tür izleme ve analiz süreci, hem savunma önlemleri almak hem de olası bir saldırıyı önceden tespit etmek için kritik öneme sahiptir. Özellikle, saldırı senaryolarını ve kısıtlı ortamları analiz etmek, sistem güvenliğini artırma çabalarına önemli katkılar sunabilir.

Bu bağlamda, etkili bir adli bilişim süreci için güçlü bir log yönetim stratejisi oluşturmak ve sürekli izleme ile anomali tespit çözümleri entegre etmek gereklidir. Siber güvenlik alanında sunulan yeni araçlar ve yöntemler bu tür tehditlerle mücadele etmede büyük kolaylık sağlamakta ve zafiyetlerin etkisini azaltmada önemli bir rol üstlenmektedir.

Savunma ve Sıkılaştırma (Hardening)

Google Chrome, modern web tarayıcıları arasında en yaygın olanlarından biridir ve bu nedenle siber saldırganlar için cazip bir hedef olmaktadır. CVE-2020-16017 zafiyeti, kullanımı sonrasında serbest bırakma (use-after-free) olarak bilinen bir tür güvenlik açığıdır. Bu zafiyet, uzaktan bir saldırganın, bulanık bir HTML sayfası kullanarak, tarayıcıdaki render işlemine müdahale etmesine olanak tanır. Dolayısıyla, bir saldırganın sandbox (konteyner) ortamından kaçıp, sistemde daha derin seviyelere erişim sağlaması mümkün hale gelir. Bu tür zafiyetler, uzaktan kod yürütme (RCE - Remote Code Execution) tehdidi oluşturur ve bu nedenle son derece ciddiye alınmalıdır.

Zafiyetin nasıl işlediğini anlamak, savunma mekanizmalarını oluşturmak için önemlidir. Hedefimiz, siber güvenlik alanında en iyi uygulamaları izleyerek bu tür zayıflıkları en aza indirmektir. İlk olarak, Google Chrome’un ve diğer tarayıcıların en son sürümlerini kullanmak hayati öneme sahiptir. Tarayıcı güncellemeleri, genellikle yeni keşfedilen güvenlik açıklarını kapatmak için gerçekleştirilir. Dolayısıyla, bu tür zafiyetlerden etkilenmemek için sürekli güncel kalmalıyız.

Bir diğer savunma katmanı, web uygulama güvenlik duvarları (WAF - Web Application Firewall) kullanmaktır. WAF, gelen ve giden trafiği analiz ederek, zararlı aktiviteleri tespit edip engelleyebilir. Örneğin, aşağıdaki gibi WAF kuralları oluşturarak potansiyel saldırganları engelleyebiliriz:

SecRule REQUEST_HEADERS:User-Agent ".*Chrome.*" \
    "phase:2, \
    deny, \
    status:403, \
    id:1001, \
    msg:'Google Chrome tarayıcısında tespit edilen şüpheli bir işlem engellendi.'"

Bu örnekte, gelen isteklerde Chrome tarayıcısı kullanılarak yapılan şüpheli işlemler anında engellenmektedir. Web uygulama güvenlik duvarı ayarlarını sıkılaştırmak, tarayıcılar üzerindeki var olan zafiyetlerin kötüye kullanılma ihtimalini azaltır.

Kalıcı sıkılaştırma önerilerine gelecek olursak, kullanıcılar için eğitim büyük bir öneme sahiptir. Kullanıcılar, phishing (oltalama) saldırılarına karşı eğitilmelidir. Aşağıda, kalıcı sıkılaştırma için önerilen adımlar bulunmaktadır:

Güvenlik Güncellemeleri: Tüm tarayıcılar ve eklentileri düzenli olarak güncellemelidir.
İzleme ve Denetim: Güvenlik loglarını düzenli olarak incelemek, potansiyel saldırıların tespit edilmesine yardımcı olabilir.
Erişim Kontrolleri: Sistem ve uygulama kaynaklarına erişimi sınırlandırarak, yalnızca gerekli yetkilerin verilmesi gerekir.
Tarayıcı Eklentileri: Gereksiz veya güvenilir olmayan eklentilerin kaldırılması, potansiyel saldırı yüzeyini küçültür.
Bağlantı İhlalleri: TLS (Transport Layer Security) kullanarak güvenli bağlantılar kurulmalı ve HTTP trafiği güvenli bir hale getirilmelidir.
Düzenli Testler: Güvenlik açığı tarama ve penetrasyon testleri düzenli olarak yapılmalı; bulgulara göre aksiyon alınmalıdır.

Sonuç olarak, CVE-2020-16017 gibi zafiyetler, siber tehditlerin sürekli evrildiği günümüzde ciddiyetle ele alınmalıdır. Kullanıcı eğitiminden WAF kurallarına, sıkılaştırma stratejilerinden güncellemelere kadar bir dizi önlem alarak, bu tür zafiyetlerin etkilerini minimize etmek mümkündür. Unutulmamalıdır ki, proaktif bir yaklaşım, siber güvenlik alanında her zaman en iyi savunmadır.