CVE-2021-21206: Google Chromium Blink Use-After-Free Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-21206, Google'ın Chromium projesinde bulunan ve Blink motorunu etkileyen bir kullanımdan sonra serbest bırakma (use-after-free) zafiyetidir. Bu zafiyet, uzaktan bir saldırganın, kötü niyetle hazırlanmış bir HTML sayfası aracılığıyla bellek bozulmasına yol açabilme potansiyeli taşımaktadır. Bu güncel güvenlik açığı, yalnızca Google Chrome’da değil, Chromium tabanlı diğer web tarayıcılarında da etkili olabilmektedir. Microsoft Edge, Opera gibi tarayıcılar da bu zafiyetten etkilenebilir.

Kullanımdan sonra serbest bırakma, bellek yönetiminde sıklıkla karşılaşılan bir problem olup, programın düzeltilmediği veya serbest bırakılmadığı durumda bellek alanına erişim sağlayan kodun çalıştırılması sonucunda ortaya çıkar. Zafiyet, Chromium’un Blink kısmında, HTML ve DOM (Belge Objesi Modeli) işleme sırasında meydana gelen bir fazla (out of bound) erişimle bağlantılıdır. Kullanıcı etkileşimlerine bağlı olarak bellek içindeki serbest bırakılmış bir işaretçiye erişim sağlaması, saldırganın kendi kodunu yürütmesine olanak tanıyabilir. Kapitalizmin çeşitli sektörlerinde bu tür zafiyetlerin kullanılması, bilgi hırsızlığından finansal dolandırıcılığa kadar geniş bir yelpazede zarara yol açabilir.

Gerçek dünya senaryosuna bakacak olursak, bir hedef şirketin çalışanları tarafından ziyaret edilen bir web uygulaması, bu zafiyeti barındıran bir sayfaya yönlendirilirse, çalışanların bilgisayarlarına kötü niyetli yazılımlar yüklenebilir. Örneğin, e-postalar aracılığıyla gönderilen bir bağlantı, çalışanlar tarafından tıklanması halinde kullanılabilir. Bu durum, uzaktan kod yürütme (RCE) süreci ile sonuçlanabilir ve saldırgan sistemin kontrolünü ele geçirerek hassas verilere erişim sağlayabilir.

Tarihçesi açısından, CVE-2021-21206, ilk olarak Google tarafından 2021 yılının Ocak ayında duyurulmuş, ardından Şubat ayının başlarında çeşitli güncellemelerle tarayıcılar, bu zafiyetin etkilerini azaltmak amacıyla yamalar almıştır. Zafiyetin CVSS (Common Vulnerability Scoring System) skoru, kullanıcıların zafiyeti değerlendirebilmesi için kritik önemdedir. Bu tür açıkların zamanında kapatılmaması, kurumların bilişim sistemlerinde kalıcı hasarlara yol açabilir.

Dünya genelinde, eğitim, sağlık, finans ve e-ticaret gibi çeşitli sektörlerdeki kurumlar bu tür zafiyetlerden etkilenebilir. Özellikle sağlık ve finans alanındaki kuruluşlar, hasta verileri ile müşteri bilgilerini korumak amacıyla yüksek güvenlik önlemleri almak zorundadır. Zafiyetlerin bu sektörlerdeki yansımaları, kullanıcı güvenliğini tehdit etmekle kalmayıp, aynı zamanda büyük finansal kayıplara yol açabilecek durumlara da yol açabilir.

Sonuç olarak, CVE-2021-21206 gibi zafiyetlerin varlığı, hem bireysel kullanıcılar hem de kurumlar için ciddi bir tehdit oluşturuyor. Bu tür zafiyetlere karşı alınacak önlemler, artırılmış kullanıcı bilinci ve güvenlik güncellemelerinin düzenli olarak uygulanmasını gerektirir. Web tarayıcıları güncellemeleri her zaman dikkat edilmesi gereken konuların başında yer alır. Kullanıcıların düzenli olarak yazılımlarını güncelleyerek bu tür zafiyetlere karşı kendilerini korumaları hayati bir önem taşır.

Teknik Sömürü (Exploitation) ve PoC

CVE-2021-21206, Google Chromium Blink bileşeninde bulunan ve uzaktan bir saldırganın hazırladığı HTML sayfası aracılığıyla heap bozulmasına neden olabilen bir "use-after-free" (kullanımdan sonra serbest bırakma) zafiyetidir. Bu tür bir zafiyet, saldırganların hedef sistemde kod çalıştırmasına (RCE) imkan tanıyabilir. Chromium tabanlı tarayıcılarda kendini gösterebilen bu zafiyet, hem Google Chrome hem de diğer Chromium tabanlı tarayıcılarda ciddi bir güvenlik tehditi oluşturabilir.

Söz konusu zafiyetin teknik sömürü aşamalarını inceleyelim. İlk olarak, saldırganın bir HTML sayfası oluşturması gerekecek. Bu HTML sayfası, "use-after-free" zafiyetini tetikleyecek şekilde tasarlanmalıdır. Aşağıda, bu tür bir zafiyeti tetiklemek için gerekli olan temel adımlar sıralanmıştır:

Zafiyeti anlama: Öncelikle, zafiyetin ne tür nesneleri hedef aldığını anlamak önemlidir. "Use-after-free" hataları genellikle dinamik bellek yönetimi ile ilgilidir. Bir nesne serbest bırakıldığında ve daha sonra bu nesneye erişilmeye çalışıldığında bu hata meydana gelir. Bu durumda, bir saldırgan bu bellek alanını yeniden kullanarak kendi kodunu çalıştırabilir.
Gerekli HTML sayfasını oluşturma: Saldırının temel bileşeni olan bir HTML sayfası oluşturarak hedef tarayıcı üzerinde bu zafiyeti tetiklemeliyiz. Aşağıda, HTML sayfasının içeriğine örnek verilmiştir:

&lt;!DOCTYPE html&gt;
&lt;html&gt;
&lt;head&gt;
    &lt;title&gt;Zafiyet Testi&lt;/title&gt;
    &lt;script&gt;
        let obj = {};
        // Nesneyi kullanıyoruz
        obj.someProperty = "Initial value";
        // Nesneyi serbest bırakıyoruz
        obj = null;
        // Hatalı bir şekilde tekrar kullanıyoruz
        console.log(obj.someProperty);
    &lt;/script&gt;
&lt;/head&gt;
&lt;body&gt;
    &lt;h1&gt;Zafiyet Testi Sayfası&lt;/h1&gt;
&lt;/body&gt;
&lt;/html&gt;

Bu örnekte, nesne kullanımdan sonra serbest bırakılmakta ama sonrasında hala erişilmeye çalışılmaktadır.

Payload tasarlama: Saldırgan, "use-after-free" durumuna ulaşarak kendi zararlı kodunu bu bellek alanında çalıştırmalıdır. Bu noktada, tarayıcının bellek alanını manipüle etmek için çeşitli teknikler kullanılabilir. Bu aşamada, bellek enjekte etme (memory injection) veya kötü niyetli yük (malicious payload) yerleştirme yöntemleri devreye girebilir.
Zafiyetin tetiklenmesi: HTML sayfasını bir web sunucusuna yükleyerek kullanıcıları bu sayfayı ziyaret etmeye teşvik etmek gerekecek. Kullanıcı, sayfayı ziyaret ettiğinde, sunucu zafiyeti tetikleyecek olan HTML sayfasını kullanıcının tarayıcısına iletecektir.
Sonuçların incelenmesi: Saldırı başarılı olursa, hedef sistemde istenmeyen davranışlar gözlemlenebilir. Bu, bellek hataları, uygulamaların çökmesi veya saldırganın sunmuş olduğu belirli bir kodun çalıştırılması şeklinde olabilir.

Bir "Proof of Concept" (PoC) sunmak, zafiyetin ne kadar tehlikeli olduğunu göstermektedir. Ancak etik açıdan bu tür bilgilerin sadece güvenliktestleri, sistemlerin güçlendirilmesi ve uyum sağlanması için kullanılması önemlidir. Zafiyetlerin tespit edilmesi ve düzeltilmesi, siber güvenlik alanında çok kritik bir rol oynamaktadır. Bu nedenle, her güvenlik uzmanı, güncel zafiyetleri takip etmeli ve bu tür boşlukları kapatma yönünde adım atmalıdır.

Son olarak, zafiyetlerin üreticiler tarafından kapatılması ve güncellemelerin uygulanmasını sağlamak için yazılımlarınızı düzenli olarak güncellemek de önemlidir. Zafiyet istismarından korunmak için, tarayıcı ve ilgili uygulamaların en son sürümlerinin kullanılması oldukça faydalı olacaktır.

Forensics (Adli Bilişim) ve Log Analizi

Google Chromium Blink üzerindeki CVE-2021-21206 zafiyeti, siber güvenlik dünyasında önemli bir tehdittir. Özellikle bu tür kullanıma özgü bir hata (use-after-free vulnerability), kötü niyetli bir saldırganın elinde, bellek bozulmasına (heap corruption) neden olacak şekilde kullanılabilir. Bu da, uzaktan kod çalıştırmaya (RCE) veya başka zararlı aktiviteler gerçekleştirilmesine yol açabilir. Doğru tespit ve analiz yöntemleri ile, bu tür bir saldırıdan etkilenmekten kaçınmak mümükündür.

Bir siber güvenlik uzmanı, SIEM (Security Information and Event Management) sistemlerini kullanarak, bu tür bir saldırının gerçekleşip gerçekleşmediğini belirleyebilir. İlk adım, sıklıkla kontrol edilmesi gereken log dosyalarının belirlenmesidir. Özellikle, "Access log" ve "Error log" gibi log dosyaları, saldırının izlerini taşıyabilir.

Saldırıların tespitinde dikkat edilmesi gereken bazı belirtiler şunlardır:

Şüpheli HTTP istekleri: Log dosyalarında, bilindik kullanıcı etkileşimlerinin dışında görülen şüpheli HTTP istekleri göz önünde bulundurulmalıdır. Örneğin, belirli bir HTML sayfasından kaynaklanan birkaç isteğin hızla yapılması, kullanıma özgü hataların bir belirtisi olabilir. Bunun için, log dosyalarında örneğin şöyle bir giriş aramalısınız:
```
192.168.1.10 - - [01/Jan/2021:10:00:00 +0000] "GET /malicious_page.html HTTP/1.1" 200 512
```
Hata mesajları: "Error log" dosyaları, uygulamanın çeşitli bölümlerinde meydana gelen hataları içerir. Kullanıma özgü hatalardan birinin belirtileri, çökmeler ya da beklenmedik davranışlarla kendini gösterebilir. Aşağıdaki gibi hataların düzensiz bir şekilde tekrar etmesi, bir tehditin varlığına işaret edebilir:
```
[ERROR] [blink] Use-After-Free detected in render process
```
Anormal trafik paternleri: Saldırıların izlenmesi açısından, normal davranışlardan sapmalar da önemli bir göstergedir. Özellikle bir kullanıcıdan gelen çok sayıda istek veya beklenmedik bir bölümden gelen yoğun bir trafik, dikkatle izlenmelidir. Bu tür paternler için log dosyalarını incelemek gereklidir.
Kötü amaçlı içerik denemeleri: Saldırganlar genellikle deneme-yapma yöntemiyle (fuzzing) uygulamalardaki zayıflıkları keşfetmeye çalışır. Log dosyalarında, tanımsız veya kötü amaçlı içerik aramalara dair girişlerin bulunup bulunmadığı kontrol edilmelidir. Şu şekilde görünebilir:
```
192.168.1.15 - - [01/Jan/2021:10:05:00 +0000] "POST /submit_form HTTP/1.1" 400 0
```

Sonuç olarak, CVE-2021-21206 zafiyetine dair bir saldırıyı tespit etmek için analistler, yakın bir dikkatle log dosyalarını incelemelidir. Şüpheli HTTP istekleri, hata mesajları ve anormal trafik paternleri gibi unsurlar, siber güvenlik uzmanlarının bir saldırıyı gün yüzüne çıkarmasına olanak tanıyabilir. Gelişmiş analitik araçlar ve teknik bilgi birikimi ile, bu tür tehditler tespit edilebilir ve önleyici tedbirler alınabilir.

Savunma ve Sıkılaştırma (Hardening)

CVE-2021-21206, Google Chromium Blink bileşeninde bulunan kritik bir güvenlik açığıdır. Kullanıma kapatılmış (use-after-free) durumunu içeren bu sorun, uzaktan bir saldırganın özel hazırlanmış bir HTML sayfası aracılığıyla bellek bozulmasına (heap corruption) yol açabileceği anlamına gelmektedir. Bu tür zafiyetler, özellikle tarayıcıların farklı sürümlerini kullanan sistemlerde (örneğin Google Chrome, Microsoft Edge ve Opera) ciddi güvenlik tehditleri oluşturabilir.

Zafiyetin kötüye kullanılması durumunda, bir saldırgan doğrudan uzaktan kod yürütme (RCE - Remote Code Execution) potansiyeline sahip olabilir. Bu, gerektiğinde kullanıcı verilerini çalmak, kötü amaçlı yazılımlar yüklemek ya da sistem üzerinde tam kontrol sağlamak gibi sonuçlar doğurabilir. Bu bağlamda, CVE-2021-21206'nın nasıl kapatılacağı ve sistemlerin nasıl sıkılaştırılacağı üzerine odaklanmak kritik bir öneme sahiptir.

Öncelikle, bu tür zafiyetlerin var olmasını engellemek için güncellemelerin (patch) yapılması gerekmektedir. Google, Chromium sürümüne yönelik düzenli güncellemeler ile bu tür zafiyetleri kapatmaya yönelik çalışmalar yürütmektedir. Kullanıcıların ve sistem yöneticilerinin, web tarayıcılarını ve buna bağlı bileşenlerini daima en son sürüme güncellemeleri önerilir.

Firewall (WAF - Web Application Firewall) kuralları oluşturmak da önemli bir adımdır. Özellikle, dışardan gelen isteklerin filtrelenmesi ve potansiyel tehditlerin (örneğin, özel hazırlanmış HTML sayfaları) engellenmesi veya sınırlanması için aşağıdaki gibi WAF kuralları belirlemek gerekebilir:

SecRule REQUEST_HEADERS:User-Agent "Mozilla/5.0" "id:1000001,phase:1,deny,status:403"
SecRule REQUEST_BODY "@contains &lt;script&gt;" "id:1000002,phase:2,deny,status:403"

Ayrıca, web sunucularında veya uygulama sunucularında içerik güvenliği politikaları (CSP - Content Security Policy) uygulamak da saldırganların kötü niyetli JavaScript yüklemelerini engellemeye yardımcı olabilir. Örneğin, CSP uygulayarak yalnızca belirli kaynaklardan gelen içeriklerin yüklenmesine izin verebilirsiniz:

Content-Security-Policy: default-src 'self'; img-src 'self' https://trustedimagehost.com; script-src 'self' https://trustedscript.com;

Kalıcı bir sıkılaştırma sağlamak için, sistemlerinizi ve ağlarınızı yalnızca gerekli servislere açmalısınız. Gereksiz hizmetlerin (service) ve portların kapatılması, saldırı yüzeyinizi azaltır. Örneğin, eğer bir web sunucusunda sadece HTTP veya HTTPS hizmeti kullanıyorsanız, yönlendirilmemiş olan portları kapalı tutmak önemlidir.

Bunun yanı sıra, bellek yönetimini iyileştirmek amacıyla kod inceleme ve bellek temizleme (memory sanitation) gibi tekniklerden yararlanmak da büyük bir avantaj sağlar. Güvenlik duvarları ve uygulama güvenlik duvarları arasındaki entegrasyon ile birlikte uygulama loglarının (log) sıkı bir şekilde denetlenmesi, sistemlerin kötüye kullanılması ihtimalini azaltır.

Son olarak, kullanıcıların güvenlik farkındalığına yönelik eğitimler verilmesi, bu tür zafiyetlerin kötüye kullanılmasını engelleyebilmek için son derece önemlidir. Kullanıcıların, potansiyel olarak güvenilir görünmesine rağmen zararlı içerikler barındıran bağlantılara karşı dikkatli olmaları sağlanmalıdır.

CVE-2021-21206 gibi zafiyetler, günümüz siber güvenlik tehditlerinin önemli bir parçasıdır. Yukarıda belirtilen önlemler ve sıkılaştırma teknikleri kullanılarak, potansiyel tehdidin etkileri en aza indirilmekte ve sistem güvenliği artırılmaktadır.