CVE-2021-36942: Microsoft Windows Local Security Authority (LSA) Spoofing Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Microsoft Windows Local Security Authority (LSA) Spoofing Vulnerability, CVE-2021-36942, siber güvenlik alanında oldukça önemli bir zafiyet olarak karşımıza çıkmaktadır. Bu zafiyet, özellikle büyük organizasyonlarda ve kurumsal sistemlerde ciddi güvenlik riskleri taşımaktadır. LSA, Windows işletim sistemi üzerinde kimlik doğrulama ve güvenlik politikalarını yöneten bir bileşendir. Bu bileşenin zarar görmesi, birden fazla sistemin güvenliğini tehdit edebilir ve potansiyel olarak büyük boyutlarda veri sızıntılarına neden olabilir.

Zafiyetin ortaya çıkışı, özellikle 2021 yılının yaz aylarında bazı güvenlik araştırmacıları tarafından keşfedilmiştir. Kötü niyetli bir saldırgan, LSA bileşenini hedef alarak kimlik doğrulama sürecini manipüle edebilir. Saldırganın, LSARPC (Local Security Authority Remote Procedure Call) arayüzüne bir yöntem çağrısını yaparak, bir alan denetleyicisini başka bir sunucuya NTLM (NT LAN Manager) kullanarak kimlik doğrulaması yapmaya ikna etmesi mümkün olmaktadır. Bu durum, özellikle domain ortamlarında çalışan sistemler için ciddi bir güvenlik açığı yaratır.

Gerçek dünya senaryolarını ele alacak olursak, bir şirketin sunucuları arasında güvenli bir iletişim sağlamak için kullanılan NTLM, saldırganların sisteme sızmasına olanak tanıyabilir. Özellikle büyük bankacılık, finans ve sağlık sektörleri için bu durum, müşteri bilgilerinin sızdırılması, kimlik hırsızlığı ve diğer siber suçlar açısından son derece tehlikeli sonuçlar doğurabilmektedir. Saldırgan, bu zafiyeti istismar ederek kullanıcı kimlik bilgilerini ele geçirebilir veya sahte kimlikler oluşturarak yetkisiz erişim sağlayabilir.

Zafiyetin etkilediği alanlar sadece finans sektörü ile sınırlı değildir. Kamu hizmetleri, eğitim kurumları ve enerji sektörleri gibi birçok farklı alan bu zafiyetin etkileri altında kalmıştır. Özellikle kurumların siber güvenlik önlemleri yeterince güçlü değilse, bu tür bir saldırı ile ciddi veri kayıpları yaşanabilir. Örneğin, bir üniversitenin öğrenci kayıt sistemine yönelik bir saldırı, kişisel bilgilerin kötüye kullanılmasına yol açabilirken, bir enerji şirketinin kontrol sistemlerinde yaşanacak bir güvenlik ihlali, geniş çaplı kesintilere yol açabilir.

Bu zafiyetin çözümü için Microsoft, güvenlik güncellemeleri yayınlayarak kullanıcıları ve sistem yöneticilerini bilgilendirmiştir. Bu güncellemeler, LSA'nın mimarisindeki hata düzeltmelerini içermekte ve ilgili güvenlik açıklarının kapatılmasına yardımcı olmaktadır. Ancak zafiyetin yarattığı tehditler, sadece bir güncelleme ile geçiştirilemeyecek kadar ciddidir. Kurumlar, siber güvenlik politikalarını gözden geçirmeli, gerekli önlemleri almalı ve düzenli olarak sistemlerini güncelleyerek olası tehlikelere karşı hazırlıklı olmalıdır.

Sonuç olarak, CVE-2021-36942 zafiyeti, siber güvenlik alanındaki önemli bir uyarıdır. Özellikle kimlik doğrulama süreçlerinin güvenliği günümüzün en önemli konularından biridir. Bu zafiyetin etkilediği sektörler ve potansiyel sonuçları göz önünde bulundurulduğunda, her kuruluşun siber güvenlik önlemlerini sürekli olarak gözden geçirmesi ve gerekli adımları atması elzemdir.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Windows Local Security Authority (LSA) Spoofing Vulnerability (CVE-2021-36942), siber güvenlik dünyasında önemli bir zafiyet olarak öne çıkmaktadır. Bu zafiyet, kötü niyetli bir saldırganın yetkisiz olarak bir yöntemi LSARPC (Local Security Authority Remote Procedure Call) arayüzünde çağırmasına ve domain denetleyicisini başka bir sunucuya NTLM (NT LAN Manager) ile kimlik doğrulaması yapmaya zorlamasına olanak tanır. Bu tür bir zafiyet, potansiyel olarak organizasyonların ağı üzerinde geniş yetkilere sahip olmasına sebep olabilir. Şimdi bu zafiyeti adım adım nasıl sömürebileceğimizi inceleyelim.

İlk olarak, zafiyeti anlayabilmek için temel yapılara hakim olmak önemlidir. LSARPC, Windows sistemlerinde, kullanıcıların ve sistemlerin kimliğini doğrulamak için kullanılan bir protokoldür. Saldırgan, bu protokolda yer alan bir güvenlik açığını hedef alarak, yetkisiz bir kimlik doğrulaması gerçekleştirebilir.

Sömürü işlemi için gerekli olan ilk adım, hedefteki domain denetleyicisinin IP adresini ve port numarasını belirlemektir. Genellikle, LSARPC için kullanılan port numarası 135'tir. Aşağıdaki HTTP isteği bu bağlantıyı test etmek için kullanılabilir:

GET http://<Hedef_IP>:135/ HTTP/1.1
Host: <Hedef_IP>

Bir sonraki aşamada, LSARPC servisine sahte bir çağrı yapmak amacıyla özel bir payload hazırlamamız gerekecek. Bunun için Python dilinde aşağıdaki gibi basit bir exploit taslağı oluşturabiliriz:

import socket

def lsa_spoof(target_ip, target_port=135):
    # LSARPC servisine bağlantı sağla
    with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s:
        s.connect((target_ip, target_port))
        # Sahte bir istek gönder
        payload = b'\x00\x00\x00\x0C\x00\x00\x00\x00\x00\x00\x00\x00'
        s.send(payload)

# Hedef IP adresini burada girin
lsa_spoof('&lt;Hedef_IP&gt;')

Bu basit örnek, LSARPC arayüzüne sahte bir istek göndererek, potansiyel bir spoofing saldırısının temellerini atacaktır. Ancak, başarı oranını artırmak için gönderilen yükün içeriğini ve biçimini dikkatli bir şekilde tasarlamak gerekecek. Bu, genellikle daha karmaşık HTTP istekleri ve yanıtları gerektirir.

Zafiyetin etkisini artırmak amacıyla, NTLM kimlik doğrulaması sürecini hedef almanız önemlidir. Saldırgan, doğru yapılandırılmamış veya zayıf bir NTLM kimliğinden faydalanarak, istemci tarafında kimlik bilgilerini sızdırabilir. Bu aşamada, özellikle zayıf parolalar veya geniş erişim kimlik bilgileri kullanılabilir.

Son olarak, zafiyet ile ilgili bir sonucu gözlemlemek için, domain denetleyicisinden alınan yanıtları dikkatlice analiz etmek önemlidir. Burada hedef sistemin cevaplarına göre saldırı stratejinizi güncelleyebilirsiniz. Örneğin, başarılı bir girişim sonrasında aldığınız yanıtları yorumlamak, hangi adımların başarılı veya başarısız olduğunu anlamak için yol gösterici olabilir.

CVE-2021-36942 zafiyetinin sömürülmesi, ciddi sonuçlar doğurabilecek bir eylemdir ve yetkisiz erişim elde etme amacı taşır. Bu nedenle, bu tür bilgilerin sorumlulukla kullanılması ve kesinlikle etik çerçeve içerisinde kalınması son derece önemlidir. Siber güvenlik pratikleri doğrultusunda, bu tür zafiyetlerin tespit edilmesi ve uygun güvenlik önlemleriyle kapatılması, organizasyonların güvenliği için kritik bir öneme sahiptir.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Windows Local Security Authority (LSA) Spoofing Vulnerability olarak bilinen CVE-2021-36942, siber güvenlik alanında kritik bir tehdit oluşturmaktadır. Bu zafiyet, Windows işletim sisteminde kimlik doğrulama sürecini hedef alarak, kötü niyetli bir saldırganın LSA aracılığıyla domain controller (etki alanı denetleyicisi) üzerinde yetkisiz erişim sağlamasına olanak tanır. Burada saldırgan, domain controller'ı kurban makinenin başka bir sunucuya NTLM (NT LAN Manager) kimlik doğrulaması yapması için kandırabilir. Bu tür bir zafiyet, saldırganların ağdaki mevcut yapıları lehine çevirebilmeleri için büyük bir fırsat sunar.

Bir siber güvenlik uzmanı, CVE-2021-36942 saldırısının gerçekleştirilip gerçekleştirilmediğini tespit etmek için log analizi ve forensics (adli bilişim) yöntemlerini kullanmalıdır. Özellikle, SIEM (Security Information and Event Management) sistemleri bu tür olayları izlemek ve analiz etmek için kritik bir öneme sahiptir. Log dosyaları üzerinde çeşitli göstergeler (signature) aramak, bu tür saldırıların tespit edilmesi adına önemli bir adımdır.

Saldırının izlerini bulmak için ilk olarak, Active Directory (AD) ile ilgili logları incelemek gerekir. Özellikle Access loglar (erişim logları) ve Security loglar (güvenlik logları), şüpheli etkinlikleri tespit etmek için önem taşır. Aşağıdaki imzalar, potansiyel bir CVE-2021-36942 saldırısını gösteren unsurlar olarak dikkate alınmalıdır:

NTLM Kimlik Doğrulama Başarısızlıkları: Şüpheli NTLM kimlik doğrulama istekleri ve buna bağlı başarısız girişimler, bu açığın kötüye kullanıldığını gösterebilir. Log dosyalarında NTLM kimlik doğrulama günlüklerine (Event ID 4625) bakılmalıdır.

Event ID: 4625
Description: An account failed to log on
Status: 0xC000006D (The attempted logon is invalid)

LSA RPC Çağrıları: LSA'ya yapılan RPC (Remote Procedure Call) çağrıları, sistemde standart olmayan davranışlar sergiliyorsa, dikkatlice analiz edilmelidir. Bu çağrılar, sistemin kendisini bir başka sunucuya karşı kimlik doğrulamak için kullandığını gösteriyor olabilir.
Şüpheli Hesap Etkileşimleri: Loglara yansıyan şüpheli kullanıcı hesap etkileşimleri ve bu hesaplara ait işlem günlükleri analiz edilmelidir. Örneğin, yönetici olan veya yetkisini kötüye kullanan bir kullanıcının olağan dışı zamanlarda erişim talepleri, sistemin tehlike altında olduğunu gösterir.
Özelleşmiş Event ID'ler: Windows güvenlik logları üzerinden Event ID 4672 gibi özel olayları izlemek, başarılı bir kimlik doğrulama işlemi gerçekleştirildiğinde alınan detayları sağlar. Bu tarz loglar, hangi kullanıcının hangi kaynaklara eriştiği hakkında bilgi verebilir ve anomali teşhiklerine yardımcı olabilir.

Siber güvenlik analistleri, yukarıda belirtilen logları gözden geçirerek ve şüpheli etkinlikleri tespit ederek, CVE-2021-36942 zafiyetinin etkilerini minimize edebilir. Ayrıca, güvenlik açığının giderilmesi için sistem güncellemelerinin aksatılmadan uygulanması ve güvenlik politikasının gözden geçirilmesi önerilir. Bu tür bir proaktif yaklaşım, potansiyel saldırganların hedefe ulaşmasını büyük oranda zorlaştıracaktır.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Windows Local Security Authority (LSA) Spoofing Vulnerability (CVE-2021-36942), siber güvenlik alanında kritik bir zafiyet olarak öne çıkmaktadır. Bu zafiyet, kimlik doğrulama sürecinde NTLM (NT Lan Manager) kullanarak yapılan sahtecilik eylemlerini mümkün hale getirir. Bir saldırgan, yetkisiz bir şekilde LSA'ya erişip, domain controller'ı (etki alanı denetleyici) başka bir sunucuya yönlendirebilir. Bu durum, sistemde kimlik doğrulama ve veri bütünlüğü sorunlarını beraberinde getirir.

Zafiyetin etkisini anlamak için, bir şirket ağı içindeki etki alanı denetleyicisinin önemli bir rol üstlendiğini bilmek önemlidir. Bir saldırgan, bu zafiyatı kullanarak, kullanıcı kimlik bilgilerini çaldığı ve yasadışı erişim sağladığı bir senaryoyu hayal edelim. Örneğin, bir kullanıcının bilgisayarına zararlı bir yazılım yerleştirilmesi durumunda, bu yazılım kimlik bilgilerini toplamak için saldırganın yararına olabilir. Kullanıcıdan alınan bilgiler, uzaktan komut yürütme (RCE - Remote Code Execution) gibi daha büyük saldırıların gerçekleştirilmesini sağlamak için kullanılabilir.

Bu tür zafiyetlerin etkilerinden korunmak için sistemlerin sıkı bir şekilde yapılandırılması (hardening) şarttır. İlk olarak, Microsoft tarafından sunulan güvenlik güncellemelerinin zamanında uygulanması gerekmektedir. Yalnızca güncellemeleri yüklemekle kalmayıp, aynı zamanda sistemin mevcut konfigürasyonunu gözden geçirmek ve gerektiğinde güncellemek önemlidir.

Alternatif firewall (WAF - Web Application Firewall) kuralları oluşturarak, LSA’ya erişimi kısıtlamak mümkündür. LSA, yalnızca gerekli olan IP adreslerine ve güvenilir kaynaklara erişim vermek amacıyla filtrelemeleri sertleştirmek önemlidir. Örneğin, şu kurallar eklenebilir:

# LSARPC arayüzüne yalnızca belirli IP adreslerinden erişilmesine izin ver
allow from 192.168.1.0/24 to any port 135
deny from any to any port 135

Bu durum, sadece iç ağdaki belirli makinelerin LSA'ya erişmesine izin vererek dış kaynaklardan yapılabilecek kötü niyetli erişimleri engeller.

Kalıcı sıkılaştırma adımları arasında, sistemde gereksiz servislerin devre dışı bırakılması ve düzenli olarak kullanıcı hesaplarının gözden geçirilmesi de önem arz etmektedir. Kullanıcı hesapları, en düşük yetki prensibine göre yönetilmelidir. Ayrıca, kullanıcıların NTLM yerine Kerberos gibi daha güvenli bir kimlik doğrulama protokolüne geçmeleri teşvik edilmelidir. Kerberos, ticket-based kimlik doğrulama işlemi yaparken, kullanıcı bilgilerini ağda açıkça iletmemesi nedeniyle sahteciliğe karşı daha dayanıklıdır.

Son olarak, izleme ve alarm sistemleri kurarak ağ trafiğini sürekli olarak gözlemlemek ve potansiyel kötü niyetli faaliyetlere karşı anında müdahale edebilmek, zafiyetin kötüye kullanılmasını büyük ölçüde azaltacaktır. Özellikle, anormal trafik ve yetkisiz erişim girişimleri için kurallar belirlemek kritik öneme sahiptir.

Sistemlerinizi bu açıdan sıkılaştırarak ve LSA gibi zafiyetlerin etkilerini en aza indirerek siber güvenlik pozisyonunuzu güçlendirebilirsiniz. Unutmayın, sürekli eğitim ve güncelleme, savunma mekanizmalarının en güçlü yönünü temsil eder.