CVE-2020-24557: Trend Micro Multiple Products Improper Access Control Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Trend Micro, siber güvenlik çözümleri alanında tanınmış bir isimdir ve Apex One, OfficeScan ve Worry-Free Business Security gibi ürünleri, birçok işletmenin ağlarını dış tehditlerden korumasında kritik bir rol oynamaktadır. Ancak, bu ürünlerde bulunan CVE-2020-24557 zafiyeti, doğru bir erişim kontrolü uygulamamanın getirdiği tehlikeleri gözler önüne sermektedir. Bu zafiyet, Windows işletim sistemlerinde kullanılan bir güvenlik ürününün belirli dosyaları üzerinde kötü niyetli bir şekilde işlem yapma imkânı tanımaktadır.

Zafiyetin tarihine bakıldığında, 2020 yılının Ekim ayında Trend Micro, bu güvenlik açığını keşfetti ve gerekli güncellemeleri yayımladı. Ancak, bu tür zafiyetlerin varlığı, uzun bir süre boyunca kötüye kullanılabilecekleri anlamına gelmektedir. Özellikle güvenlik güncellemelerinin hızlı bir şekilde uygulanmadığı işletmelerde, siber suçluların bu zafiyet üzerinde gerçekleştirecekleri saldırılar büyük tehlikelere yol açabilir.

CVE-2020-24557 zafiyeti, bir dosya manipülasyonu yoluyla erişim kontrolünde eksikliklere dayanır. Kötü niyetli bir aktör, belirli bir ürün klasöründe değişiklik yaparak güvenlik mekanizmalarını devre dışı bırakabilir. Bu eylem, bir Windows işlevini kötüye kullanarak yetki yükseltmesine (privilege escalation) yol açabilir. Örneğin, bir siber suçlu, bu zafiyeti kullanarak bir çalışanın bilgisayarına kötü amaçlı yazılım yüklemeyi deneyebilir. Çalışanın bilgisayarındaki güvenlik yazılımları devre dışı bırakıldığında, bu yazılımın tespit edemediği bir kötü amaçlı yazılımın daha kolay saldırı gerçekleştirmesine olanak tanınmış olur.

Bir dünya senaryosunda, finans sektörü üzerinde bu tür bir saldırı oldukça yıkıcı sonuçlar doğurabilir. Örneğin, bir banka, Trend Micro’nun söz konusu ürünlerini kullanıyor olabilir. Bir saldırganın bu zafiyeti kullanarak iç sistemlere erişim sağlaması, müşteri verilerini tehlikeye atacak ve ciddi maddi kayıplara neden olacaktır. Ayrıca, sağlık sektörü gibi kritik alanlar da zarara uğrayabilir; çünkü bu tür sistemler, hassas ve korunması gereken hasta verilerini içermektedir.

Sektörler arası etkisi göz önüne alındığında, bu tür zafiyetlerin tespiti ve hızlı bir şekilde kapatılması, korunan sistemlerin güvenliğini sağlamak açısından büyük önem taşır. İlgili güvenlik önlemlerini almanın yanı sıra, işletmelerin güvenlik güncellemelerini düzenli olarak takip etmeleri ve uygulamaları gerekiyor.

Sonuç olarak, CVE-2020-24557 gibi zafiyetler, görünmez ve sessiz bir şekilde cihaza sızarak siber ortamdaki güvenliği tehdit eden ciddi birer tehdit yapısı oluşturur. Tüm bu nedenle, bir "White Hat Hacker" perspektifinden bakıldığında, bu zafiyetin kriz anında etkili savunmalar geliştirilmesi için deneyimsel bir ders olabileceği söylenebilir. CyberFlow platformunun kullanıcıları, hem zafiyet tespitinde hem de güvenlik sistemlerinin iyileştirilmesinde bu tür potansiyel tehditleri daima göz önünde bulundurmalıdır.

Teknik Sömürü (Exploitation) ve PoC

Güvenlik açıkları, özellikle network tabanlı sistemlerde, siber güvenlik profesyonelleri için büyük riskler taşımaktadır. CVE-2020-24557 koduyla bilinen Trend Micro’nun Apex One, OfficeScan ve Worry-Free Business Security ürünlerinde keşfedilen uygunsuz erişim kontrolü (improper access control) zafiyeti, bir saldırganın sistemde geçici olarak güvenliği devre dışı bırakmasına ve ayrıcalık yükseltmesine (privilege escalation) olanak tanımaktadır.

Bir zafiyeti sömürmek, çeşitli aşamalardan oluşan bir süreçtir. İlk adım, hedef sistemin doğru bir şekilde analiz edilmesidir. Trend Micro ürünlerinin kurulu olduğu bir Windows sistemi üzerinde, bu açık hangi yollarla istismar edilebilir bunu anlamak gerekir. Zafiyetin doğası gereği, kötü niyetli bir kişi belirli bir ürün klasörünü manipüle ederek güvenliği geçici olarak devre dışı bırakma yeteneğine sahip olacaktır. Bu durumda, sistemdeki dosya ve klasörlerin erişim izinleri (access permissions) üzerinde hassas bir analiz yapmak gerekecektir.

İlk olarak, hedef Windows sistemimizde Trend Micro ürünlerinin hangi sürümünün kurulu olduğunu doğrulamak önemlidir. Ayrıca, bu ürünlerin klasör yapısını ve yetki ayarlarını incelemek yararlı olacaktır. Hedef sistemde, trend micro ürünlerinin kurulu olduğu dizinler genellikle şu şekildedir:

C:\Program Files\Trend Micro\Apex One\
C:\Program Files\Trend Micro\OfficeScan\
C:\Program Files\Trend Micro\Worry-Free Business Security\

Bu dizinlerin içinde yer alan dosya izinleri üzerinde bir değişiklik yapmak, potansiyel olarak saldırgan eline yeni yetkiler verebilir. Örneğin, aşağıdaki Python kodu ile bu klasörlerin izinlerini kontrol edebiliriz:

import os

def check_permissions(path):
    permissions = os.popen(f'icacls "{path}"').read()
    print(f"{path} izinleri:")
    print(permissions)

dirs = [
    r"C:\Program Files\Trend Micro\Apex One",
    r"C:\Program Files\Trend Micro\OfficeScan",
    r"C:\Program Files\Trend Micro\Worry-Free Business Security"
]

for directory in dirs:
    check_permissions(directory)

Bu kod, her bir dizinin erişim izinlerini kontrol eder ve yazma izinleri (write permissions) olup olmadığını kontrol etmemize yardımcı olur. Eğer dizin üzerinde "Everyone" veya benzeri gruplara yazma izni verilmişse, bu zafiyeti sömürmek için avantaj sağlar.

İkinci aşama, sisteme sızma ve güvenlik mekanizmalarını aşma adımıdır. Güvenlik izinleri değiştirildiğinde, kullanıcı olarak istismar ederecek ayrıcalığa sahip olabilirsiniz. Örneğin, aşağıdaki HTTP isteğinde, bir dosyanın güvenlik ayarlarını değiştirmek için kullanılabilecek bir örnek yer almaktadır:

POST /path/to/vulnerable/endpoint HTTP/1.1
Host: target-system.com
Content-Type: application/json

{
    "action": "modify_permissions",
    "folder": "/Program Files/Trend Micro/Apex One",
    "permissions": "Everyone:(OI)(CI)F"  // Kapsamlı yetki verme
}

Yukarıdaki istek, zafiyetin bir sonucu olarak belirli bir dizin için tam erişim izni vermektedir. Bu tür bir istismar, sistemde tam yetki sahibi olmanızı sağlar ve sistem üzerinde etkili eylemler gerçekleştirme olanağı sunar.

Son adım, elde edilen ayrıcalıkları kullanarak hedef sistemi istenilen şekilde manipüle etmektir. Bu noktada, RCE (uzaktan kod yürütme) saldırıları başlatmak, çeşitli kötü amaçlı yazılımların yerleştirilmesi veya veri hırsızlığı gibi riskler mevcuttur.

Sonuç olarak, CVE-2020-24557 zafiyeti, Trend Micro ürünlerinde ciddi bir güvenlik açığı oluşturmaktadır. Saldırganların bu açıkları kullanarak sistem üzerinde kontrol elde etmeleri mümkün hale gelmektedir. Bu durum, siber güvenlik uzmanlarının sistemlerini her zaman güncel tutmalarını ve bu tür zafiyetlere karşı hazırlıklı olmalarını zorunlu kılmaktadır. Eğitimli bir "Beyaz Şapkalı Hacker" olarak, bu tür zafiyetlerin tespiti ve giderilmesi konularında sürekli olarak bilgi ve deneyim artırmak büyük önem taşımaktadır.

Forensics (Adli Bilişim) ve Log Analizi

Trend Micro ürünlerinde (Apex One, OfficeScan ve Worry-Free Business Security) tespit edilen CVE-2020-24557 zafiyeti, kötü niyetli bir kullanıcının belirli bir ürün klasörünü manipüle ederek güvenlik ayarlarını geçici olarak devre dışı bırakmasına, belirli bir Windows işlevini kötüye kullanmasına ve ayrıcalık yükseltmesi (privilege escalation) gerçekleştirmesine olanak tanımaktadır. Bu durum, siber güvenlik uzmanlarının log analizi yaparak bu tür tehditleri veya potansiyel saldırıları tespit etmesinin önemini artırmaktadır.

Bir siber güvenlik uzmanı olarak, bu tür bir zafiyetin etkilerini belirlemek için ilk adım, SIEM (Security Information and Event Management) sistemlerini kullanarak log dosyalarını analiz etmektir. Özellikle erişim logları (access logs) ve hata logları (error logs) bu süreçte kritik öneme sahiptir. Erişim logları, kullanıcıların hangi dosyalara ve klasörlere ne zaman eriştiğine dair bilgiler sunar. Hata logları ise uygulamanın çalışmasında meydana gelen sorunları, hata kodlarını ve sistemin verdiği yanıtları içerir.

Zafiyetin keşfinden sonra bakılması gereken ilk imzalar, aşağıdaki gibidir:

Anormal Erişim Davranışları: Kullanıcıların beklenmedik klasörlere veya dosyalara erişim girişimleri, özellikle "System" ya da "Administrator" gibi yüksek erişim yetkilerine sahip hesaplar üzerinden gerçekleşiyorsa dikkatle incelenmelidir. Bu tür davranışlar, bir saldırganın aşamalı olarak yetkilerini artırmayı denediğine işaret edebilir.
Zamanlama ve Sıklık Analizi: Log dosyalarının zaman damgaları, belirli bir zaman diliminde yoğun faaliyet gösteren kullanıcı hesaplarını açıkça gösterebilir. Eğer normal kullanıcı davranışları dışında, kısa bir süre içinde fazla sayıda erişim kaydı varsa bu, dikkat edilmesi gereken bir gösterge olabilir.
Dosya Değişiklikleri: Zafiyet, ürün klasörlerinin manipülasyonuna fırsat tanıdığı için, belirli dosya veya klasörlerde anormal değişiklikler aramak kritik bir adımdır. Özellikle güvenlik ayarlarını etkileyen dosyalar üzerinde yapılan değişiklikler, bu tür bir saldırının göstergesi olabilir.
Yetki Yükseltme Belirtileri: Sistem logları üzerinde yetki yükseltme girişimlerine dair belirtiler aramak da önemlidir. Kullanıcıların beklenmedik bir şekilde yüksek yetkilere erişim sağlaması, bir "auth bypass" (yetki aşımı) girişiminin sonucu olabilir.

Gerçek dünya senaryolarında, bir güvenlik uzmanı benzer bir zafiyetin kullanıldığını fark ettiğinde, bu imzaları incelemenin yanı sıra ağ trafiğini (network traffic) de analiz etmelidir. Ağ trafiğindeki şüpheli aktiviteler, örneğin, bilinmeyen IP adreslerinden gelen anormal istekler veya olağandışı protokoller kullanımı, potansiyel bir siber saldırıyı işaret edebilir.

Sonuç olarak, CVE-2020-24557 gibi zafiyetlerle başa çıkmak, etkili bir log analizi ve güvenlik izleme ile mümkün olmaktadır. Kötü niyetli kullanıcılar, genellikle kurumsal sistemlerdeki zafiyetleri hedef alırken, bu tür zafiyetlerin varlığından haberdar olmak ve log analizini kuvvetli bir şekilde yürütmek, siber saldırılara karşı alınacak en önemli tedbirlerden biridir. Unutulmamalıdır ki, siber güvenlik sadece önleyici tedbirler almakla değil, aynı zamanda mevcut sistemlerin sürekli izlenmesiyle de sağlanabilir.

Savunma ve Sıkılaştırma (Hardening)

Trend Micro ürünlerinde tespit edilen CVE-2020-24557 zafiyeti, kötü niyetli bir saldırganın belirli ürün klasörlerini manipüle ederek güvenlik önlemlerini geçici olarak devre dışı bırakmasına, belirli Windows fonksiyonlarını kötüye kullanmasına ve yetki yükseltme (privilege escalation) yoluyla sistem üzerinde daha fazla kontrol elde etmesine imkan tanıyor. Bu tür bir zafiyet, siber güvenlik açısından büyük riskler taşıyarak kurumsal sistemlerin güvenilirliğini sarsabilir.

Bir "White Hat Hacker" olarak, bu açığın kapatılması ve sistemlerin güvenliği için birkaç önlem önerilebilir. Öncelikle, Trend Micro ürünlerinin güncellemeleri düzenli olarak takip edilmeli ve publisher tarafından sağlanan yamalar hızla uygulanmalıdır. Güncellemeler, genellikle bu tür zafiyetlere yönelik düzeltmeler içerir ve sistemin güvenliğini artırır.

Ayrıca, kurumsal bir ağda yalnızca gerekli olan kullanıcıların yeterli yetkilere sahip olduğundan emin olunmalıdır. Bu, Minimum Yetki Prensibi (Principle of Least Privilege) ile sağlanabilir. Kullanıcıların yalnızca işlerini yapabilmeleri için gereken en düşük erişim seviyesinde yetkilere sahip olmaları, bir saldırganın potansiyel olarak kötüye kullanabileceği yetkileri azaltır. Bunun yanı sıra, kullanıcı aktivitelerini izlemek için bir Denetim Kayıt Sistemi (Audit Logging System) kullanmak önemlidir. Bu sistem, anormal aktiviteleri tespit etmeye yardımcı olur.

Ayrıca, alternatif firewall (WAF – Web Application Firewall) kuralları uygulanarak dışarıdan gelebilecek saldırılara karşı ek bir koruma katmanı sağlanabilir. Örneğin, aşağıdaki gibi kurallar uygulamak faydalı olabilir:

Rule 1: Block all incoming traffic except from trusted IPs.
Rule 2: Limit access to sensitive directories and files based on user roles.
Rule 3: Monitor and log all access attempts to key directories.

Bu kurallar, istenmeyen erişimleri önlemenin yanı sıra, dikkat çekmeyen ama potansiyel tehlike oluşturabilecek saldırıları (örneğin, Buffer Overflow ve Auth Bypass) da azaltır. Ayrıca, sistemde güçlü kimlik doğrulama yöntemleri (multi-factor authentication) kullanılmalıdır. Bu sayede, yalnızca yetkilendirilmiş kullanıcıların sistemlere erişimi sağlanarak güvenlik artırılabilir.

Son olarak, kalıcı sıkılaştırma önerileri arasında uygulamaların derinlemesine yapılandırılması yer almalıdır. Örneğin, sistemde hangi yazılımların çalıştığı veya hangi portların açık olduğu gibi detaylar gözden geçirilmelidir. Bu tür bir sıkılaştırma uygulamalarıyla, saldırganların sistemdeki potansiyel zayıflıklardan yararlanması engellenebilir.

Zafiyetlerin giderilmesi ve sistem güvenliğinin sağlanması, sürekli bir süreçtir. Trend Micro ürünleri gibi yazılımlarda, kurumsal güvenlik uygulamalarını da göz önünde bulundurmak ve proaktif yaklaşımlar geliştirmek, hem kısa vadede hem de uzun vadede güvenliği artıracaktır. Bu tür önlemler, organizasyonların güvenlik açıklarını minimize ederek, olası siber saldırılara karşı güçlü bir savunma hattı oluşturur. Unutulmamalıdır ki, iyi bir güvenlik stratejisi yalnızca teknik önlemleri değil, aynı zamanda kullanıcıların güvenlik bilincini de geliştirmeyi içermelidir.