CVE-2021-28664: Arm Mali Graphics Processing Unit (GPU) Unspecified Vulnerability

Zorluk Seviyesi: İleri | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Arm Mali Graphics Processing Unit (GPU) için tanımlanmış olan CVE-2021-28664 zafiyeti, siber güvenlik alanında önemli bir tehdit olarak öne çıkmaktadır. Bu zafiyet, Arm Mali GPU kernel sürücüsünde görülen tanımsız bir açık olarak değerlendirilmektedir ve kullanıcıların, normalde erişimi kısıtlı olan bellek alanlarına yazma yetkisi kazanmasına olanak tanımaktadır. Günümüzde, grafik işleme birimleri (GPU) özellikle oyun, yapay zeka ve grafik tasarım gibi çeşitli sektörlerde yaygın olarak kullanılmaktadır. Zafiyetin varlığı, bu alanlarda çalışan sistemlerin güvenliğini doğrudan tehdit etmektedir.

CVE-2021-28664 zafiyetinin kökenleri, Arm'ın Mali GPU kernel sürücüsünde gerçekleşen bir hatadan kaynaklanmaktadır. Bu sürücü, GPU'nun işletim sistemine entegrasyonunu sağlar ve grafik işlemlerinin düzgün bir şekilde yürütülmesi için kritik öneme sahiptir. Yapılan analizler, zafiyetin doğru bellek yönetimi ve erişim kontrol mekanizmalarında eksiklikler olduğunu göstermektedir. Özellikle, bellek erişim izinleriyle ilgili hatalar, kötü niyetli bir kullanıcının, kullanıcı yetkileriyle sınırlı olan alanlarda yazma işlemleri gerçekleştirmesine ve dolayısıyla bellek kirliliğine neden olmasına yol açmaktadır.

Bu zafiyetin etkileri, sektörden sektöre değişiklik göstermektedir. Oyun geliştirme ve grafik tabanlı uygulama alanlarında, kullanıcıların bağımsız olarak grafik kartına erişimi, sistem üzerinde geniş bir kontrol sağlamaktadır. Kötü niyetli bir kullanıcı, bu sayede uzaktan kod yürütme (Remote Code Execution - RCE) imkanı elde edebilir ve sistemin güvenliğini tehlikeye atabilir. Özellikle, oyun içi hile yapma, hesap ele geçirme veya diğer kullanıcıların verilerine erişim gibi olumsuz durumlara karşı koruma sağlayan sistemler zafiyetten etkilenebilecektir. Ayrıca, bu tür bir bellek koruma açığı, çeşitli donanım ve yazılım çözüm sağlayıcıları tarafından kullanılan entegre sistemlerde de ciddi riskler doğurabilir.

Dünya genelindeki etkilerine baktığımızda, bu zafiyetin, özellikle mobil cihazlar ve tabletlerde bulunan Mali GPU'ları kullanan üreticileri vuran bir tehdit olduğu görülmektedir. Mobil uygulama geliştiricileri, bu zafiyetin varlığına karşı sistemlerini güçlendirmek ve kullanıcı verilerini korumak adına çeşitli güvenlik önlemleri almak zorundadır. Bunu yaparken, yazılım güncellemeleri, güvenlik yamaları ve kod gözden geçirmeleri gibi uygulamaları dikkate almalıdırlar.

Sonuç olarak, CVE-2021-28664 zafiyeti sadece bir açık olarak değil, aynı zamanda grafik işleme alanında kullanılan sistemlerin güvenliğini test eden önemli bir vaka çalışması olarak karşımıza çıkmaktadır. Arm Mali GPU kullanıcıları için bu tür zafiyetlerin farkında olmak ve buna yönelik önlemleri almak kritik bir öncelik haline gelmiştir. Kötü niyetli kullanıcıların bu tür açıkları istismar etmemesi için sürekli bir güncelleme ve izleme süreci yürütülmelidir. Ayrıca, siber güvenlik alanındaki gelişmeler, bu tür zafiyetlerin zamanında tespit edilmesi ve önlenmesi için hayati öneme sahiptir.

Teknik Sömürü (Exploitation) ve PoC

Arm Mali Graphics Processing Unit (GPU) için CVE-2021-28664 zafiyetinin teknik sömürü süreci, detaylı bir değerlendirme ve örnekler ile açıklanabilir. Bu zafiyet, kernel sürücüsünde yer alan belirsiz bir güvenlik açığı olarak tanımlanmıştır. Etkili bir şekilde kullanılabilirse, bu zafiyet bir saldırgana, yetkisiz kullanıcıların salt okunur bellek üzerinde yazma erişimi kazanmasına, root yetkilerine ulaşabilmesine, bellek alanlarını bozmalarına ve diğer süreçlerin belleğini değiştirmelerine olanak tanıyabilir. Bu nedenle, bu zafiyetin sömürü edilmesi potansiyel olarak ciddi sonuçlar doğurabilir.

Sömürü süreci, genellikle belirli adımları takip eder. İlk olarak, bu tür bir zafiyetten etkilenip etkilenmediğimizi doğrulamak için hedef sistem üzerinde bir keşif (reconnaissance) süreci başlatmalıyız. Bu aşama, hedef alınan Arm Mali GPU’nun sürüm bilgilerini ve mevcut yapılandırmalarını öğrenmek için kullanılabilir. Bilgi toplama sonuçlarına dayanarak, hedef sistemde daha fazla özgürlük kazanmak için gerekli adımları belirleyebiliriz.

Bir örnek senaryo üzerinden ilerleyecek olursak;

1. Bilgi Toplama: Arm Mali GPU’nun sürümünü öğrenmek amacıyla aşağıdaki komutları kullanabiliriz:

   lshw -c video
   dmesg | grep -i mali
   

2. Zafiyet Tespiti: CVE-2021-28664 ile ilgili olarak, açıkların etkili olup olmadığını kontrol etmek için sistemin yapılandırmasını inceleyip, yüklü kernel modüllerini analiz edebiliriz.

   lsmod | grep mali
   

3. Exploit Geliştirme: Zafiyeti sömürmek için gerekli olan exploit kodunu geliştirirken, bellek üzerinde yazma işlemleri gerçekleştirebilecek bir yapı kurmalıyız. Aşağıda basit bir PoC (Proof of Concept) kodu örneği bulunmaktadır.

   import ctypes
   import os
   
   # Kernel modülünü yüklemek için kullanılan sistem çağrısı
   libc = ctypes.CDLL("libc.so.6")
   libc.system("echo 'malicious payload' > /dev/mali")
   
   # Elde edilen bellek alanını kullanarak okuma-yazma işlemi
   buffer = ctypes.create_string_buffer(1024)
   with open("/dev/mali", "r+b") as f:
       f.readinto(buffer)
       print("Read from GPU memory: ", buffer.value)
       f.write(b'modified data')
   

4. Bellek Manipülasyonu: Yazma erişimi sağlanan bellek segmentlerinden birisine, bir keylog veya başka zararlı bir yazılım yüklenebilir.

5. Privilege Escalation (Yetki Yükseltme): Hedef sistemde root yetkisi almak için aşağıdaki gibi basit bir yazılım geliştirebiliriz.

   os.system("chmod 4777 /path/to/malicious_binary")
   

6. İz Sürmeyi Önleme: Sömürme işlemi tamamlandığında, hedef sisteme girdikten sonra iz bırakmamak adına log dosyalarını temizlemek önemlidir.

   rm -rf /var/log/auth.log
   

Zafiyeti sömürmek, yalnızca belirli bir teknik bilgi birikimi gerektirmekle kalmaz, aynı zamanda etik kurallara uyulması gereken hassas bir süreçtir. Her bir aşama dikkatlice düşünülmeli ve kötü niyetli kullanımlardan kaçınılmalıdır. White Hat Hacker yaklaşımımız, güvenlik zafiyetlerini tespit etmek ve düzeltmek için sistemleri korumayı amaçlamaktadır. Unutulmamalıdır ki, CVE-2021-28664 gibi zafiyetler, yalnızca sistemleri korumak için kullanıcıların bilgi sahibi olmaları gereken önemli noktalardır.

Forensics (Adli Bilişim) ve Log Analizi

Arm Mali Graphics Processing Unit (GPU) üzerinde bulunan CVE-2021-28664 zafiyeti, siber güvenlik uzmanları için önemli bir tehlike teşkil etmektedir. Bu zafiyet, bir kullanıcının yetkisi olmadan, yalnızca bir okuma bellek bölgesine yazma erişimi elde etmesine, kök yetkileri kazanmasına, belleğin bozulmasına ve diğer süreçlerin belleğini değiştirmesine olanak tanır. Bu tür bir saldırı, özellikle mobil cihazlar ve gömülü sistemlerde ciddi sonuçlar doğurabilir.

Saldırganların bu zafiyeti kullanarak gerçekleştirilebilecekleri bir senaryo düşünelim. Bir kullanıcı, hedef sistemde çalışan bir uygulama aracılığıyla, GPU'ya erişim sağlar. Zafiyetten yararlanarak, bu kullanıcı bellek üzerinde yazma işlemleri yapabilir. Örneğin, kötü amaçlı bir komut dosyası ile sistemin bellek alanına zararlı kodlar enjekte edebilir. Bu durum, uzaktan kod çalıştırma (RCE - Remote Code Execution) veya bellek taşması (Buffer Overflow) gibi tehditlere yol açabilir. Bu tür bir kötü niyetli aktivite, sistemin kontrolünü ele geçirmeye ve kullanıcı verilerini çalmaya kadar gidebilir.

Siber güvenlik uzmanları, bu tür bir zafiyetin istismar edildiğini anlamak için SIEM (Security Information and Event Management) sistemlerini ve log dosyalarını etkili bir şekilde analiz etmelidir. Özellikle, erişim logları (Access Logs) ve hata logları (Error Logs) üzerinde durmak kritik öneme sahiptir. Aşağıda dikkat edilmesi gereken bazı anahtar imzalar ve log analizi ipuçları verilmiştir:

1. Şüpheli Erişimler: Erişim loglarında, normal kullanım alışkanlıklarına uymayan ani ve aşırı erişimler tespit edilmelidir. Özellikle bellek bölümlerine yapılan yazma işlemleri dikkatle izlenmelidir.

2. Anormal Hata Mesajları: Hata logları, beklenmeyen yazma hataları veya bellek erişim hataları içeriyorsa, bu durum bir saldırının göstergesi olabilir. Özellikle "Segmentation Fault" (Segmantasyon Hatası) veya "Illegal Memory Access" (Yasadışı Bellek Erişimi) gibi hata mesajları, potansiyel bir istismar belirtileridir.

3. Sistem Davranış Analizi: Saldırganlar, zafiyeti kullanırken sistemde alışılmadık davranışlar sergileyebilir. Örneğin, işlemci yükünde ve bellek kullanımında anormal artışlar gözlemlenebilir. Performans analiz araçları ile bu değişiklikler izlenmelidir.

4. İzinsiz Bellek Yazma Olayları: Belirli log dosyalarında, okunamaz bellek alanlarına yazma girişimlerine dair veriler bulunmalıdır. Bu tür girişimler genellikle potansiyel bir exploit (sömürü) girişimi olarak değerlendirilebilir.

5. Kritik Sistem Dosyalarına Erişim: Sistem loglarında, yaşanması beklenmeyen kritik sistem dosyalarına yönelik ani ve izinsiz erişim girişimleri gözlemlenmelidir. Belirli bir dosya veya konum, saldırı hedefi olabilir.

Bu uyarılar, siber güvenlik uzmanlarının CVE-2021-28664 gibi zafiyetlerin istismar edildiğini erken aşamada yakalamasına yardımcı olacaktır. Log analizinin yanı sıra, sistemin güncel tutulması ve güvenlik yamalarının zamanında uygulanması da büyük önem taşımaktadır. Böylece, potansiyel tehlikelerin önüne geçilmesi mümkün olacaktır.

Savunma ve Sıkılaştırma (Hardening)

Arşivlerde yer alan CVE-2021-28664 güvenlik açığı, Arm Mali Graphics Processing Unit (GPU) sürücüsünde tanımlanan ikincil bir zayıflıktır. Bu zayıflık, bir kullanıcıya (özellikle non-privileged kullanıcı) okuma korumalı bellek alanına yazma erişimi sağlayabilir. Böylece, bu kullanıcının sistemdeki diğer süreçlerin belleğini de değiştirebilmesi, bellek bozulmalarına yol açması ve sonuçta kök (root) ayrıcalıklarının kazanılması gibi ciddi güvenlik sorunları ortaya çıkabilir. Bu tür durumlar, özellikle güvenlik açısından hassas sistemlerde önemli riskler taşımaktadır.

Zayıflığın istismar edilmesi, tipik olarak bir bellek taşması (Buffer Overflow) veya yetkilendirme atlatması (Auth Bypass) ile mümkün olabilmektedir. Bu durumda, zayıflığın etkileyici olabilmesi için saldırganın, özellikle bellek yönetimi hakkında bilgi sahibi olması gerekmektedir. Gerçek dünyada, bir saldırganın donanımda bu tür bir zafiyeti kullanarak sistemin kontrolünü ele geçirmesi, işletim sisteminin kararlılığını bozması ve kritik verilerin şifrelenmesine ya da dışarıya sızmasına sebep olabilmektedir.

Bu tür güvenlik açıklarının kapatılması adına uygulanabilecek bazı stratejiler mevcuttur. İlk olarak, sistemdeki sürücülerin güncellenmesi önemlidir. Arm tarafından yayımlanan yamalar ve güncellemeler, söz konusu güvenlik açığını ele alabilir ve herhangi bir istismar riskini azaltabilir. Ayrıca, sistem yöneticileri, yalnızca gerekli durumlarda imzalı sürücülerin yüklenmesine izin vererek sistemin genel güvenliğini artırabilirler.

İkinci olarak, WAF (Web Application Firewall) kuralları ile sisteme gelen trafiği analiz etmek ve şüpheli aktiviteleri engellemek kritik bir rol oynamaktadır. WAF kuralları oluşturulurken, aşağıdaki gibi önerilere dikkat edilmesi gerekir:

# Örnek WAF kuralı: Potansiyel bellek taşması denemelerini engelleme
SecRule REQUEST_HEADERS "([^\w]|^)exec(\s+|$)" \
"id:123456,phase:2,deny,status:403,msg:'Memory Overflow Attempt Detected'"

Bu gibi kurallar, kötü niyetli isteklerin syscalls (sistem çağrıları) aracılığıyla belirli bellek adreslerine erişmesini engelleyebilir.

Kalıcı sıkılaştırma (hardening) önerileri olarak, gereksiz hizmetlerin kapatılması, sistemin eski sürümlerinin güncellenmesi ve erişim kontrol listesinin gözden geçirilmesi öngörülebilir. Aşağıda yer alan adımlar da dikkate alınmalıdır:

• Minimum Ayrıcalık İlkesi: Kullanıcılara yalnızca ihtiyaç duydukları erişim izinlerinin verilmesi, olası zafiyetlerin etkisini azaltacaktır.
• Güvenlik Denetimi: Sistemdeki tüm kullanıcı ve grup izinlerinin düzenli olarak gözden geçirilmesi, şüpheli durumların tespit edilmesine yardımcı olabilir.
• Log Yönetimi: Sistem ve uygulama loglarının tutulması, olası saldırıların izlenmesi ve analiz edilmesine olanak tanır.

Sonuç olarak, CVE-2021-28664 zayıflığının sistem üzerindeki olumsuz etkilerini en aza indirmek için güncellemelerin, düzgün firewall kurallarının ve sıkılaştırma stratejilerinin birlikte uygulanması gereklidir. Bu tür önlemler, hem mevcut güvenlik açıklarının etkilerini azaltacak hem de gelecekteki olası saldırılara karşı etkin bir savunma mekanizması oluşturacaktır.