CVE-2021-21193: Google Chromium Blink Use-After-Free Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-21193, Google Chromium Blink motorunda ortaya çıkan bir kullanımdan sonra serbest bırakma (use-after-free) zafiyetidir. Bu tür zafiyetler, yazılım bileşenlerinin bellek yönetiminde meydana gelen hatalardan kaynaklanır ve genellikle bellek sızıntılarına ya da heap (yığın) bozulmalarına yol açar. Bu zafiyet, uzaktan bir saldırganın, özenle hazırlanmış bir HTML sayfası üzerinden belirli tarayıcılarda, yani Google Chrome, Microsoft Edge ve Opera gibi Chromium tabanlı tarayıcılarda potansiyel olarak zararlı kod çalıştırmasına (RCE - Uzaktan Kod Yürütme) olanak tanır.

Bu zafiyetin tarihi, 2021'in başlarına kadar gitmektedir. Saldırganlar, genellikle hedef kullanıcıları belirli bir web sayfasını ziyaret etmeye ikna edebilir ve bu sayfa aracılığıyla kullanıcının sistemine sızabilirlerdi. Bunun sonucunda, saldırganlar kullanıcıların bilgilerini çalmakta veya bulundukları sistemlerde zarar verici yazılımlar yüklemekte serbest kalmışlardı.

Kullanımdan sonra serbest bırakma (use-after-free) zafiyetleri, bellek alanlarının yanlış yönetilmesine neden olur ve bu da yazılımın beklenmedik şekilde davranmasına yol açar. Özellikle bu tür zafiyetler, veri yapılarındaki elemanların serbest bırakılmasından sonra hala erişilebilir olmaları durumlarında tehlikeli hale gelir. Google Chromium Blink'teki bu zafiyet, bellek serbest bırakıldığında, işaretçilerin (pointer) hala erişim sağlanmasına izin vererek, güvenlik açıklarının ortaya çıkmasına neden olmaktadır. Örneğin, bir bellek alanı serbest bırakıldığında, bağlantılı veri yapıları (linked data structures) üzerindeki kontroller yapılamaz hale gelir, bu da uzaktan bir saldırganın kötü niyetli kod göndermesine olanak tanır. Yazılım güvenliği açısından bu durum, saldırganların bellek düzenini manipüle etmesine, örüntüleri değiştirerek sistem kontrolü ele geçirmesine yol açabilir.

Gerçek dünya senaryolarında, bu tür bir zafiyetin etkileri oldukça geniş çaplıdır. Dünyada birçok sektör, internet üzerinden çalışan hizmetler sunmakta ve bu hizmetlerin güvenliği kritik önem taşımaktadır. Özellikle finans, sağlık, eğitim ve teknoloji sektörleri, kullanıcı verilerinin korunmasının yaşamî önem taşıdığı alanlar arasında yer alır. Bu tür sektörlerde meydana gelen bir zafiyet, kurumsal itibar kaybına ve finansal zarara yol açabilir. Örneğin, bir banka, müşterilerinin finansal bilgilerini korumak amacıyla tüm mühendislik ekibini bu tür zayıflıkları tespit edip giderme konusunda görevlendirmek zorunda kalabilir. Bunun yanı sıra, büyük ölçekli veri ihlallerinin yaşanması, kullanıcı güvenini sarsarak, müşteri kaybına ve dolayısı ile gelir kaybına neden olabilir.

CVE-2021-21193 zafiyetini önlemek veya etkilerini minimize etmek adına, kullanıcıların güncellemeleri hızlı bir şekilde yüklemesi ve tarayıcılarını en son sürüme güncellemeleri önerilmektedir. Ayrıca, saldırılara karşı korunmak amacıyla güvenlik duvarları ve antivirüs yazılımları kullanmak da önemlidir. Yazılım geliştiricilerinin, kod yazım süreçlerinde bellek yönetimine ve güvenlik savunmalarına özel önem vermeleri gerekmektedir. Kod mimarisi ve bellek yönetimi konularında sıkı testler ve incelemeler yapmak, bu tür potansiyel zafiyetlerin ortaya çıkışını azaltacaktır.

Teknik Sömürü (Exploitation) ve PoC

Google Chromium Blink içinde bulunan CVE-2021-21193 zafiyeti, bir "use-after-free" (serbest bırakmadan sonra kullanım) hatasından kaynaklanmaktadır. Bu zafiyet, uzaktan bir saldırganın hazırlanmış bir HTML sayfası aracılığıyla heap (yığın) bozulmasına yol açarak sistem kaynaklarına erişim sağlamasına olanak tanıyabilir. Özellikle Google Chrome, Microsoft Edge ve Opera gibi Chromium tabanlı tarayıcılar, bu zafiyetin etkilediği platformlar arasında yer almaktadır.

Başlangıçta, bir use-after-free zafiyetinin temel mantığını anlamak önemlidir. Bu tür bir zafiyette, bir nesne serbest bırakıldıktan sonra, bellek alanında belirtilen nesneye yönelik bir işlev çağrısı yapılır. Elde kalan bellek alanında, saldırganın yazdığı kötü niyetli kod yüklü bir nesne barındırabilir. Böylece, saldırganın bu nesne üzerinden çalıştırma yetkisi elde etmesine bağlı olarak, RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) elde etmesi söz konusu olabilir.

Bu zafiyeti kullanarak bir "Proof of Concept" (PoC - Kanıt Niteliğinde Kavram) oluşturmak, etik hacking (beyaz şapka hackleme) perspektifinden hem öğretici hem de faydalı bir süreçtir. Adım adım bu zafiyetin nasıl sömürülebileceğini inceleyelim:

Hedef Araştırması: İlk olarak, hedef sistemde hangi Chromium tabanlı tarayıcıların kullanıldığını belirlemek önemlidir. Kullanıcının tarayıcısının sürümü, bu zafiyetten etkilenip etkilenmeyeceğini belirlemek için kritiktir.
HTML Sayfasının Hazırlanması: Hedef tarayıcının zayıflığını kullanarak bir HTML sayfası oluşturmalıyız. Bu sayfa, nesnelerin serbest bırakılmasına neden olan JavaScript kodları içermelidir. Örnek bir basit HTML yapısı:

   &lt;html&gt;
   &lt;head&gt;
       &lt;title&gt;CVE-2021-21193 PoC&lt;/title&gt;
       &lt;script&gt;
           let obj = {};
           for (let i = 0; i &lt; 1000; i++) {
               obj[i] = new Array(1000).fill(0);
           }
           obj = null; // Burada nesne serbest bırakılıyor
           // Kötü niyetli bir nesne oluşturma
           let exploit = new Array(1000).fill(1);
           // Daha sonra buradan nesne erişimi sağlanabilir
       &lt;/script&gt;
   &lt;/head&gt;
   &lt;body&gt;
       &lt;h1&gt;Şifreleme Çalışması&lt;/h1&gt;
       &lt;p&gt;Lütfen sayfayı inceleyin.&lt;/p&gt;
   &lt;/body&gt;
   &lt;/html&gt;

Bellek Manipülasyonu: Hazırlanan sayfanın açılmasıyla, tarayıcı bellek yönetiminde hatalar meydana getirilerek daha önce serbest bırakılan belleğe erişilmesi sağlanabilir. Bu aşamada, bellekteki veri yapısının nasıl manipüle edileceği üzerine daha derin bir bilgiye sahip olmak önemlidir.
Saldırının Uygulanması: Tarayıcıda hazırlanmış sayfa gösterildiğinde, bir nesnenin serbest bırakılmasından hemen sonra başka bir nesneye erişim sağlanarak, hedef makinede yerel olarak çalıştırılabilir kod enjekte edilebilir. Bu aşamada APT (Advanced Persistent Threat - Gelişmiş Kalıcı Tehdit) yöntemleri ile hedef makinedeki belirli dosyalara veya fonksiyonlara erişim sağlanabilir.
Cevap ve Geri Bildirim: Başarılı bir saldırı sonrasında elde edilen verilerin nasıl kullanılacağını düşünmek gerekecektir. Bu aşamada, elde edilen veriler üzerinde yapılacak analizlerle birlikte ciddi güvenlik açıkları rapor edilmelidir.

Saldırı simülasyonları her zaman etik bir bakış açısıyla gerçekleştirilmelidir. Kullanılan tekniklerin sadece eğitim ve güvenliği artırma amacı taşıması önemli bir husustur. Unutmayın ki, zafiyetlerin kötüye kullanımı hem hukuki hem de etik açıdan ciddi sonuçlar doğurabilir. Dolayısıyla, bu tür eğitimleri ve pratikleri yasal çerçevelerde gerçekleştirmek önemlidir.

Forensics (Adli Bilişim) ve Log Analizi

Google Chromium Blink üzerinde tespit edilen CVE-2021-21193 zafiyeti, uzaktan bir saldırganın özenle hazırlanmış bir HTML sayfası aracılığıyla bellek bozulmasına yol açabilen bir use-after-free (kullanımdan sonra serbest bırakma) zafiyetidir. Bu tür bir zafiyet, birçok web tarayıcısını, özellikle de Google Chrome, Microsoft Edge ve Opera gibi Chromium tabanlı tarayıcıları etkileyebilir. Bu durum, cybersecurity (siber güvenlik) uzmanları için ciddi bir tehdit oluşturmakta ve siber saldırıları daha da karmaşık hale getirmektedir.

Bir siber güvenlik uzmanının, bu saldırının gerçekleştirilip gerçekleştirilmediğini tespit etmek için öncelikle SIEM (Güvenlik Bilgisi ve Olay Yönetimi) sistemlerini veya log dosyalarını (log kayıtları) incelemesi gerekmektedir. Özellikle Access log (erişim kaydı) ve Error log (hata kaydı) dosyaları üzerinde durulmalıdır. Bu log dosyaları, saldırganın potansiyel olarak kullanmaya çalıştığı IP adreslerini, kullanıcı ajanlarını ve sunucu yanıt kodlarını içerebilir.

Bir saldırıyı tespit etmek için göz önünde bulundurulması gereken bazı temel imzalar (signature) şunlardır:

Şüpheli IP Adresleri: Bilinmeyen veya şüpheli IP adreslerinden gelen istekler tespit edilmelidir. Örneğin, belirli bölgelerdeki IP'ler genelde beklenmedik yüksek trafik kabul edebilir.
Yüksek Hızda Gelen İstekler: Bir kaynak veya IP adresinden çok fazla istek geliyorsa, bu durum bir saldırı göstergesi olabilir.
Kötü Amaçlı İçerik: Log dosyalarında, dışarıdan gelen HTML veya JavaScript dosyalarının kritik kısımlarını (örneğin, script etiketleri veya stil dosyaları) içeren istekler incelenmelidir.
Hata Mesajları: Error log dosyalarında, belirli bir hata mesajının sıkça ortaya çıkması, bir saldırının belirtilerinden biri olabilir. Örneğin, "use-after-free" hatası veya bellekle ilgili hatalar.
HTTP Yanıt Kodları: 4xx ve 5xx hata kodları, anormallikleri gösterebilir. Özellikle 500 serisi hata kodları, iç sunucuda bir sorun olduğuna işaret edebilir.

Gerçek bir senaryoda, CVE-2021-21193 zafiyetini kullanarak bir saldırgan, bir kullanıcının tarayıcısını hedef alabilir ve kullanıcının izni olmadan kötü niyetli yazılım yüklemeyi başarabilir. Saldırı, kullanıcı bir şüpheli bağlantıya tıkladığında veya etkilenen bir sayfayı ziyaret ettiğinde başlayabilir. Kullanılan kötü amaçlı sayfa, zararlı kodları içerir ve bu kodlar, kullanıcı tarayıcısında bellek bozulmasına yol açabilir.

Bir siber güvenlik uzmanı, yukarıda belirtilen imzaları inceledikten sonra, potansiyel bir tehdit üzerinde daha derinlemesine bir analiz yapmalı ve sistemin güvenliğini sağlamak için gerekli adımları atmalıdır. Eğer zafiyetin exploited (sömürü) edilmiş olduğuna dair bir kanıt varsa, derhal güvenlik güncellemeleri uygulanmalı ve sistemin güvenliği yeniden sağlanmalıdır.

Sonuç olarak, CVE-2021-21193 gibi zafiyetlerin tespit edilmesi, günümüzde siber güvenlik uzmanları için son derece önemlidir. Doğru log analizi yöntemleriyle bu tür tehditler zamanında tespit edilebilir ve gerekli önlemler alınarak sistemler korunabilir.

Savunma ve Sıkılaştırma (Hardening)

CVE-2021-21193, Google Chromium Blink'deki bir kullanımdan sonra serbest (use-after-free) zafiyetidir. Bu zafiyet, kötü niyetli bir saldırgan tarafından hazırlanan HTML sayfaları aracılığıyla heap bozulması (heap corruption) potansiyeline yol açmakta olup, bu durum çeşitli web tarayıcılarını etkileyebilir. Google Chrome, Microsoft Edge ve Opera gibi Chromium tabanlı tarayıcılar, bu açık nedeniyle tehlike altındadır. Bu tür zafiyetler, bir saldırganın uzaktan kod yürütmesine (RCE) olanak tanıyabilir ve bu nedenle ciddi bir tehdit oluşturur.

Bu zafiyetin etkilerini büyük ölçüde azaltmak ve tarayıcı güvenliğini artırmak için bazı önemli adımlar atılabilir. İlk olarak, yazılımların güncel tutulması büyük önem taşır. Tarayıcılar, genellikle güvenlik güncellemelerini hızla yayınlar, bu nedenle kullanıcıların ve sistem yöneticilerinin bu güncellemeleri düzenli olarak uygulaması gereklidir. Güncellemelerin yanı sıra, kullanıcıların bilinçli bir şekilde web sayfalarını ziyaret etmeleri de büyük önem arz eder. Potansiyel olarak tehlikeli sayfalardan ve kaynağı belirsiz bağlantılardan kaçınılmalıdır.

Kullanıcıların yanı sıra, uygulama ve web geliştiricilerinin de sıkılaşma (hardening) önlemleri alması gerekmektedir. Örneğin, Content Security Policy (CSP) başlıkları kullanarak, kullanıcının tarayıcısında kimlik bilgileri veya önemli bilgiler içeren bilgilerin kötü niyetli sayfalara sızmasını önlemek mümkün olabilir. Bu tür başlıklar, içerik engelleme (content blocking) sağlar ve yalnızca güvenilir kaynaklardan gelen içeriklerin yüklenmesini garanti eder.

Alternatif güvenlik duvarı (WAF) kuralları, uygulamalar üzerinde ek bir koruma katmanı sağlar. Kullanıcı girdilerini ve HTTP isteklerini izlemek için kurallar belirleyerek, anormal davranışlar tespit edilebilir. Örneğin, aşağıdaki gibi basit bir WAF kuralı ile potansiyel olarak zararlı bir isteği engelleyebilirsiniz:

SecRule REQUEST_URI "@rx /path/to/vulnerable/script" "phase:1,id:12345,deny,status:403"

Bu kural, belirli bir yol üzerinden yapılan istekleri engelleyerek, potansiyel zafiyetlerden korunmaya yardımcı olabilir. Bunun yanı sıra, WAF ayarları ile genel güvenlik politikaları oluşturulmalı ve güncellenmelidir. Sızma testleri (penetration tests) yaparak zayıf noktaların tespit edilmesi ve bu noktaların güçlendirilmesi sağlanmalıdır.

Kalıcı sıkılaştırma önlemleri arasında, kullanılan kütüphanelerin ve bağımlılıkların güvenilir bir şekilde yönetilmesi de önemli bir adımdır. Kütüphane güvenliği, yazılımın güvenliğini doğrudan etkilediğinden, geliştiricilerin bu kütüphaneleri sürekli olarak gözden geçirmesi ve güncellemeleri takip etmesi gerekmektedir.

Sonuç olarak, CVE-2021-21193 gibi zafiyetler, en iyi uygulamalar ve modern savunma teknikleri ile etkili bir şekilde yönetilebilir. Kullanıcılar, geliştiriciler ve sistem yöneticileri, bu tür zafiyetlerin tekrar ortaya çıkmasını önlemek için eyleme geçmeli ve sürekli bir güvenlik kültürü oluşturmalıdır. Kısacası, proaktif bir yaklaşım benimsemek, hem bireysel hem de kurumsal düzeyde siber güvenliği güçlendirecek temel bir adımdır.