CVE-2021-37973: Google Chromium Portals Use-After-Free Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-37973, Google Chromium Portals’da bulunan bir use-after-free (serbest bırakmadan sonra kullanma) zafiyetidir. Bu zafiyet, bir uzaktan saldırganın renderer (görüntüleyici) süreçleri üzerinde kontrol sağlaması durumunda, özel olarak hazırlanmış bir HTML sayfası aracılığıyla potansiyel olarak sandbox (kum havuzu) kaçağı gerçekleştirmesine olanak tanır. Google Chromium tabanlı web tarayıcıları, bu zafiyetin etkilediği araçlardan sadece birkaçıdır, aynı zamanda Microsoft Edge gibi diğer popüler tarayıcıları da kapsamaktadır.

Zafiyetin arka planına bakıldığında, Chromium'ın portal özelliği ve onunla entegre olan bileşenler incelenmelidir. Chromium’un portal yapısı, içeriğin güvenli bir şekilde ayrıştırılmasına olanak tanıyan bir yöntemdir. Ancak, bu sistemde bir öğe serbest bırakıldıktan sonra hala erişim sağlanabilen bir durum meydana geliyor. Özellikle bellekte serbest bırakılan referansların varsayılan durumları, veri bütünlüğü ve güvenlik açısından ciddi sorunlara yol açmaktadır. Saldırganlar, bu tür bellek yönetim hatalarını istismar ederek, hedef sistemlerinde kötü niyetli kod çalıştırabilirler.

Gerçek dünya senaryolarında, bu tür zafiyetler özellikle kurumsal ortamlar için tehlike oluşturacaktır. Örneğin, bir çalışan, bir e-posta aracılığıyla kötü niyetli bir HTML sayfasına yönlendirildiğinde, potansiyel bir saldırgan, çalışan aracılığıyla kurumsal sunuculara erişim sağlayabilir. Küçük ve orta ölçekli işletmelerden büyük teknolojik firmalara kadar geniş bir yelpazeyi etkileyebilir. Yazılım geliştirme, finans ve eğitim gibi kritik sektörler, bu tür saldırılara karşı son derece savunmasız hale gelebilir.

CVE-2021-37973, dünya çapında birçok kamu ve özel sektörde hızlı bir şekilde fark edilmiş ve düzeltme süreci başlatılmıştır. Google, bu zafiyetle ilgili güvenlik güncellemelerini daha hızlı bir şekilde yayınlamış, kullanıcıların bu tür tehditlerden korunması amacıyla kullanıcıları güncellemelerini yapmaları konusunda bilgilendirmiştir. Kullanıcıların yazılımlarını güncel tutması, bu tür zafiyetlerin önüne geçilmesi açısından kritik bir öneme sahiptir.

Zafiyetin temelini oluşturan CWE-416 (Use After Free) kategorisi, yazılım güvenliği alanında önemli bir yer tutar. Kullanıcıların serbest bırakılmış nesneleri kullanmaya devam etmesi ya da bunlara referans vermesi, ciddi güvenlik açıkları yaratabilir. Bu tür zafiyetler, genel olarak bellek yönetiminde dikkat edilmesi gereken noktalardır. Geliştiricilerin, serbest bırakma süreçlerinden sonra nesnelerin erişilebilirliğini kontrol etmeleri ve bu gibi hataların önüne geçmeleri gerekir.

Sonuç olarak, CVE-2021-37973 yalnızca bir zafiyet değil, aynı zamanda gelişmiş tehditlerin nasıl ortaya çıkabileceğini gösteren bir örnektir. Web tarayıcılarının, günlük yaşamda kullandığımız en yaygın araçlar olması göz önüne alındığında, bu tür güvenlik açıklarına karşı sürekli dikkatli olunması gerektiği açıktır. “White Hat Hacker” bakış açısıyla, kullanıcıların ve geliştiricilerin bu tür zafiyetleri analiz etmeleri ve güvenlik önlemleri almaları hayati önem taşıyor.

Teknik Sömürü (Exploitation) ve PoC

Google Chromium Portals'daki CVE-2021-37973 zafiyeti, bir "use-after-free" (serbest bırakıldıktan sonra kullanma) açığıdır. Bu tür zafiyetler, bellek yönetimindeki hatalardan kaynaklanarak, bir nesne serbest bırakıldıktan sonra hala ona erişim sağlanılması durumunda ortaya çıkar. Bu durum, bir saldırganın uzaktan kod çalıştırma (RCE - Remote Code Execution) yeteneği kazanması için olanak yaratabilir.

İlk olarak, bu güvenlik açığının nasıl sömürülebileceğine dair adımları inceleyelim. Saldırgan, özelleştirilmiş bir HTML sayfası oluşturur ve bu sayfayı hedef kullanıcının tarayıcısında açmasını sağlamak için çeşitli sosyal mühendislik teknikleri kullanabilir. Bu sayfa, Chromium Portals bileşenlerini içerir.

Özelleştirilmiş HTML Sayfası Oluşturma: Saldırgan, içeriğinde belirli JavaScript kodları ve multimedia bileşenleri bulunan bir HTML sayfası hazırlar. Bu sayfa, potansiyel olarak boş hafıza (null pointer dereferencing) erişimlerini tetikleyen içerikler barındırır.

&lt;!DOCTYPE html&gt;
&lt;html lang="tr"&gt;
&lt;head&gt;
    &lt;meta charset="UTF-8"&gt;
    &lt;title&gt;Exploit Page&lt;/title&gt;
    &lt;script&gt;
        // Çeşitli nesnelerin oluşturulması
        let portal = document.createElement('portal');
        document.body.appendChild(portal);

        // Nesnenin serbest bırakılması
        portal.remove();

        // Hatalı erişimin tetiklenmesi
        setTimeout(() =&gt; {
            let maliciousCode = 0; // Burada zararlı kod çalıştırılabilir hale getiriliyor
            console.log(maliciousCode);
        }, 1000);
    &lt;/script&gt;
&lt;/head&gt;
&lt;body&gt;
    &lt;h1&gt;Zafiyet Testi&lt;/h1&gt;
&lt;/body&gt;
&lt;/html&gt;

Zayıf Noktanın Tetiklenmesi: Kullanıcı, saldırganın paylaştığı HTML dosyasını açtığında, tarayıcı içindeki JavaScript kodu çalışarak Hatalı erişim (null access) yaratarak kullanıcının tarayıcısında bulunan işlem yapısı üzerinde kontrol kazanabilir.
Kötü Amaçlı Payload'un Enjekte Edilmesi: Saldırgan, kullanıcının tarayıcısında kontrol elde ettikten sonra, zararlı bir kod veya payload ekleyerek hedef sistemde çeşitli işlemler gerçekleştirebilir. Bu, sistemin dosyalarına erişim, hassas bilgiler toplama ya da başka bir ağ üzerinde erişim sağlama gibi işlemler içerir.
Sandbox Kaçışı: Kullanıcı işleminde kontrol sahibi olduktan sonra, saldırgan daha fazla erişim sağlayabilir ve bu bağımsız bir görevi yerine getirmek için tarayıcıdan izole edilen ortamdan çıkabilir. Bu durumda Sandbox (Kum havuzu - izole çalışma ortamı) mekanizmalarını Atlatmak için aşağıdaki veya benzeri bir kod kullanabilir.

function runMaliciousCode() {
    // Kullanıcının makinesinde çalışacak kötü amaçlı kod
    // Örneğin, diğer uygulamalarla iletişim
    // window.open('http://malicious-site.com');
}

Gerçek dünyada bu tür güvenlik açıkları, kötü niyetli kullanıcılar için büyük fırsatlar sunabilir. Örneğin, bir uzaktan kod çalıştırma (RCE) zafiyeti, kullanıcıların kişisel verilerini çalmak veya sistemlere derinlemesine erişim sağlamak için kullanılabilir. Kendi güvenliğinizi sağlamak için, güncel güvenlik yamalarını uygulamak ve sorumlu bir şekilde tarayıcıları güncel tutmak önemlidir.

Ayrıca, şüpheli bağlantılardan ve açıklardan gelen içeriklere karşı dikkatli olmak, saldırılara karşı en iyi korunma yöntemlerinden biridir. Unutmayın ki, eğitimli kullanıcılar ve güvenlik yöneticileri olmak, bu tür zafiyetlere karşı alarma geçmekte en etkili savunma yöntemidir.

Forensics (Adli Bilişim) ve Log Analizi

Google Chromium Portals üzerindeki CVE-2021-37973 zafiyeti, tarihteki en dikkat çekici güvenlik açıklarından biridir ve özellikle web tarayıcıları üzerinde ciddi etkiler yaratmış, saldırganların işlerini kolaylaştırmıştır. Bu açık, uzaktan bir saldırganın, bozulmuş bir renderer sürecini kullanarak, özel bir HTML sayfası aracılığıyla güvenlik duvarını aşma potansiyeline sahip olmasına olanak tanımaktadır. Bu durumda adli bilişim (forensics) ve log analizi, saldırının etkilerinin araştırılması ve nedenlerinin ortaya konulmasında kritik bir rol oynamaktadır.

Bir siber güvenlik uzmanı, bir saldırının izlerini SIEM (Security Information and Event Management) veya log dosyalarında tespit etmek için çeşitli yollar izlemelidir. İlk olarak, erişim (access) ve hata (error) logları üzerinde detaylı bir analiz yapılmalıdır. Kullanıcıların hangi sayfalara eriştiği, hangi dosyaların istenildiği ve bu dosyalar üzerinde hangi işlemlerin yapıldığı gibi bilgiler, potansiyel bir saldırının tespit edilmesinde yardımcı olabilir.

Örneğin, eğer bir kullanıcı ya da sistem aniden bilinmeyen bir HTML sayfasına erişim sağladıysa, bu durum potansiyel bir kötü niyetli etkinliği belirtebilir. Kullanıcı aktiviteleri üzerinde yoğunlaşarak, aşağıdaki log kayıtlarına ve imzalara (signature) bakmak gereklidir:

Yüksek Hızlı Erişim Talepleri: Bir kullanıcı, belirli bir zaman diliminde olağanüstü yüksek sayıda istek yapıyorsa, bu durum potansiyel bir saldırının göstergesi olabilir. İlgili loglarda bu tür aktiviteler gözlemlenmelidir.
Normal Olmayan HTTP Status Kodları: 404 (Not Found), 403 (Forbidden), veya diğer olağandışı kodlar, saldırının başarılı bir şekilde yapıldığını veya bir saldırganın hedefe ulaşamayarak arama yaptığını gösterebilir. Bu durum göz önünde bulundurulmalıdır.
Garip URL Yapısı: URI yapısında anormal karakterler, uzun diziler veya şüpheli parametreler, kötü niyetli bir HTML sayfasına yönlendirmeleri belirtebilir. Özellikle, URL'ler içerisinde anormal özel karakterlerin bulunması dikkat çekici bir durumdur.

Ayrıca, eğer sistemde bir use-after-free (kullanımdan sonra boş) durumu gözlemlenirse, bu durum güvenlik açığının etkisine işaret edebilir. Aşağıda bir örnek log analizi için çıkartılabilecek bir kod bloğu verilmiştir:

def analyze_logs(log_file):
    with open(log_file, 'r') as file:
        logs = file.readlines()
        for log in logs:
            if "404" in log or "403" in log:
                print(f"Şüpheli durum tespit edildi: {log.strip()}")
            if "http" in log and "?" in log:
                print(f"Güvenlik açığına yönelik potansiyel istek: {log.strip()}")

Sonuç olarak, siber güvenlik uzmanlarının bu tür bir zafiyeti anlamaları ve tespit etmeleri için kapsamlı bir log analizi yapmaları gerekir. Google Chromium Portals üzerindeki CVE-2021-37973 zafiyetinin gelişen teknolojilerle ne denli zararlı olabileceğini unutmadan, sürekli güncellemeler ve eğitimler ile bu tür tehditlere karşı hazırlıklı olmak şarttır.

Savunma ve Sıkılaştırma (Hardening)

Google Chromium Portals’ta bulunan CVE-2021-37973 zafiyeti, uzaktan bir saldırganın işleyici süreçleri ele geçirmesi durumunda, özel olarak hazırlanmış bir HTML sayfası aracılığıyla sandbox (kum havuzu) kaçağı gerçekleştirebilmesine olanak tanır. Kullanıcılar, bu tür bir saldırı sonucunda sistemlerine tehlike oluşturabilecek kötü niyetli yazılımlarla karşılaşabilirler. Bunun yanı sıra, bu açık internet tarayıcıları gibi Chromium tabanlı uygulamaları da etkileyerek, güvenlik riskini artırmaktadır. Peki, bu zafiyeti kapatmak ve genel güvenliği artırmak için neler yapabiliriz?

Öncelikle uygulama ve web tarayıcılarının en son güncel sürümlerinin kullanılması sağlanmalıdır. Google, düzenli olarak güvenlik açıklarını kapatan güncellemeler çıkarmaktadır. Yani, uygulamalarınızı güncel tutmak, bu tür zafiyetlere karşı alabileceğiniz en temel ve önemli önlemlerden biridir.

Savunma ve sıkılaştırma (hardening) çözümlerine gelecek olursak, potansiyel zafiyetleri engellemek için birkaç teknik önlem uygulayabiliriz:

Web Uygulama Güvenlik Duvarları (WAF): Uygulama düzeyindeki saldırıları engellemek için bir WAF kullanmak, potansiyel tehlikeleri önlemek açısından etkili bir yöntemdir. Aşağıdaki kurallar, CVE-2021-37973 zafiyetini hedef alan istekleri filtrelemek için kullanılabilir:
```
SecRuleEngine On
SecRule REQUEST_HEADERS:User-Agent "@rx Google.*Chrome" "id:1000001,phase:2,deny,status:403,msg:'Chrome Uygulama zafiyeti engellendi'"
SecRule REQUEST_URI "@rx /path/to/vulnerable" "id:1000002,phase:2,log,deny,status:403,msg:'Potansiyel zafiyet tespiti'"
```
İçerik Güvenlik Politikaları (CSP): Saldırganların kötü niyetli içerik yüklemelerini önlemek için sıkı bir CSP uygulanmalıdır. Örneğin:
```
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.scripts.com; object-src 'none';
```
Sandbox Modu: Tarayıcıda veya uygulamada sandbox modunun etkinleştirilmesi, zararlı kodların işletim sistemine erişimini kısıtlar. Bu, potansiyel bir kullanıma boş alan açma (use-after-free) zafiyetinin tetiklenmesini zorlaştırır.
Güvenlik Güncellemeleri: Yazılımlarınızın yalnızca güvenilir kaynaklardan güncellenmesini sağlamak ve bu güncellemeleri otomatik olarak kontrol eden sistemler kurmak, geliştirici tarafından sağlanan korumaların devamlılığını sağlayacaktır.
Eğitim ve Bilinçlendirme: Kullanıcıların zafiyetlere karşı farkındalığını artırmak amacıyla, sosyal mühendislik saldırılarına karşı eğitim vermek de etkili bir yöntemdir. Kullanıcıların şüpheli bağlantılara tıklamaktan kaçınmaları gerektiği konusunda bilgilendirilmesi, zafiyetlerin kötüye kullanılma olasılığını azaltacaktır.

Gerçek dünya senaryolarında, bir kuruluşun çalışanlarının kötü bir e-posta bağlantısına tıklaması sonucu bu tür bir zafiyetin tetiklendiğini varsayalım. Çalışan, zararlı bir HTML dosyasını indirip açtığında, sistemin kontrolü saldırgana geçebilir. Bu nedenle, yukarıda belirtilen önlemler cumulatif (toplam) bir güvenlik katmanı oluşturarak, benzer risklerin önüne geçmektedir.

Sonuç olarak, CVE-2021-37973 gibi zafiyetleri önlemek, sadece teknolojik çözümlerle sınırlı kalmayıp, aynı zamanda insan faktörünün de dikkate alınması gereken bir durumda. Güvenlik bilincinin artırılması ve sürekli eğitim, uzun vadede bu tür zafiyetlerin etkilerini minimize etmek için kritik öneme sahiptir.