CVE-2021-41379: Microsoft Windows Installer Privilege Escalation Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2021-41379, Microsoft'un Windows Installer bileşeninde bulunan ve belirli koşullar altında ayrıcalıkların yükselmesine (privilege escalation) yol açabilen bir zafiyettir. Zafiyet, oldukça geniş bir etki alanına sahip olup, kullanıcıların sistem üzerinde yetkisiz erişim elde etmesine olanak tanımaktadır. Bu durum, özellikle yanlış yapılandırılmış sistemlerde veya güvenlik güncellemelerinin uygulanmadığı ortamlarda risk oluşturur.

Bu zafiyetin keşfi, siber güvenlik alanında önemli bir dikkat çekmiştir. Microsoft, zafiyetin iç yapısıyla ilgili açıkça bir açıklama yapmamıştır, ancak yapılan analizler, hatanın Windows Installer bileşenindeki bir işlevle ilişkili olduğunu göstermektedir. Bu işlev, kullanıcıların uygulama yükleme işlemleri sırasında gerekli izinleri elde etmesine zemin hazırlayarak, istismara açık bir nokta yaratmaktadır.

CVE-2021-41379 zafiyeti, özellikle kurumsal kullanıcıların ve sistem yöneticilerinin dikkatini çekmiştir. Zafiyetin etkilediği sektörler arasında finans, sağlık, eğitim ve kamu hizmetleri bulunmaktadır. Çünkü bu sektörlerde, çalışanların sistemleri üzerinde yüksek ayrıcalıklara sahip olması gerekebilir, bu durumun kötüye kullanılması, kötü niyetli bir saldırganın sisteme zarar vermesine veya hassas verileri ele geçirmesine yol açabilir.

Gerçek dünya senaryolarını düşündüğümüzde, birçok kuruluşun sistemlerini güncel tutmadığı ya da güvenlik yamalarını düzenli olarak uygulamadığı görülmektedir. Örneğin, bir şirketin kullanıcıları, Windows Installer bileşenini kullanarak yeni yazılımlar yüklemek istediklerinde, saldırganlar bu zafiyeti istismar ederek sistem üzerinde daha yüksek yetkilere sahip olabilirler. Aşağıda bu zafiyetin kötüye kullanımına dair örnek bir kod bloğu yer almaktadır:

import os

# Saldırganın kötü niyetli bir işlem başlatması
os.system("cmd.exe /c net user hacker /add")  # Yeni kullanıcı ekleme

Bu tür bir durum, sistem yöneticileri için büyük bir tehdit oluşturmaktadır. Zira, net user komutu ile sistemde yeni bir kullanıcı oluşturmak, saldırganın kontrolü ele geçirmesine olanak tanır.

Statik analiz ve dinamik analiz yöntemleri kullanılarak, CVE-2021-41379 gibi zafiyetlerin belirlenmesi ve anlaşılması mümkündür. Statik analizde, yazılımın kaynak kodu incelenerek zayıf noktalar tespit edilirken, dinamik analizde yazılım çalıştırılarak gerçek zamanlı zafiyetler gözlemlenir. Bu tür yaklaşımlar, sistemlerin güvenliğini sağlamak için kritik öneme sahiptir.

Sonuç olarak, CVE-2021-41379, Microsoft Windows Installer'de bulunan ciddi bir zafiyettir ve bu durum, kullanıcıların sistem üzerinde yüksek yetkilere erişimini kolaylaştırmaktadır. Herhangi bir kurumsal sistemin güvenliği için, bu tür zafiyetlerin zamanında tespit edilmesi ve giderilmesi hayati öneme sahiptir. Sistem yöneticileri ve "White Hat Hacker"lar, zafiyet analizleri yaparak, potansiyel saldırı vektörlerini engellemek ve sistemlerini korumak için aktif önlemler almalıdırlar.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Windows Installer üzerinde bulunan CVE-2021-41379 açığı, sistemdeki bir yetki yükseltme (privilege escalation) zafiyeti olarak dikkat çekmektedir. Bu zafiyet, kötü niyetli bir kullanıcının sistemdeki yetkilerini artırmasına olanak tanır. Microsoft, bu güvenlik açığının detaylarını açıklamamış olsa da, zafiyetin etkili olduğu işletim sistemleri arasında Windows 10 ve Windows Server sürümleri bulunmaktadır.

Bu makalede, zafiyetin teknik sömürü yöntemlerini ve bunu gerçekleştirmek için gereken adımları detaylandıracağız. Amacımız, yasal çerçeve içerisinde bilgi edinme ve sistem güvencesini artırmaya yönelik bir farkındalık oluşturmak.

CVE-2021-41379 zafiyetini kullanabilmek için ilk adım, hedef sistemde Windows Installer'ın yüklü ve çalışır durumda olduğundan emin olmaktır. Windows Installer, çeşitli yazılımların ve güncellemelerin kurulumu için kullanılan bir bileşendir. Aynı zamanda, sistemdeki yetkileri artırmak için uygun bir ortam sunar.

İlk aşama, hedef sistemin keşfidir. Bunu yaparken, aşağıdaki gibi bir sızma testi içerisinde kullanılan araçları (örn. Metasploit) kullanarak mevcut yazılımların sürümlerini tespit edebiliriz:

nmap -p 5000,5001,5002 &lt;hedef_IP&gt;

Bu şekilde, hedef sistemde yer alan potansiyel açıkları belirleyebiliriz. Eğer sistemde vulnerable (savunmasız) bir Windows Installer versiyonu tespit ederseniz, bir sonraki aşamaya geçebilirsiniz.

Zafiyetin sömürülmesi için, tatbik edilecek bazı adımlar şöyledir:

Kötü niyetli yükleyici paketini oluşturma: Zafiyet, belirli bir paketin sahte bir versiyonunu oluşturmayı mümkün kılar. Bu aşamada, sahte bir yükleyici dosyası oluşturulabilir. Örnek bir Python scripti ile bunu yapabilirsiniz:

import os

os.system("msiexec /a badpackage.msi /qn")

Bu komut, kötü niyetli bir yükleyici dosyası yaratırken, gerekli izinleri de artırabilir.

Yükleyici paketini iletme: Oluşturduğunuz yükleyici dosyasını hedef sisteme yüklemelisiniz. Bunun için sosyal mühendislik tekniklerini kullanabilir ya da phishing (oltalama) e-postaları ile kurbanınızın bunu yüklemesini sağlayabilirsiniz.
Sömürüyü tetikleme: Hedef kullanıcı, yükleyici dosyasını çalıştırdığında, Windows Installer devreye girecektir. Bu noktada, zafiyeti tetiklemek için bir komut dosyası oluşturmalısınız. Örnek bir HTTP istek örneği aşağıdaki gibidir:

POST /install HTTP/1.1
Host: hedef.com
Content-Type: application/x-msdownload

[binär_data]

Yetki yükseltme: Yukarıdaki adımların başarılı olması durumunda, sistemde istenmeyen bir kullanıcı işlemi oluşturabilir ve bu sayede yüksek yetkilere ulaşabilirsiniz. Örneğin, "SYSTEM" (sistem) kullanıcı seviyesine çıkabilirsiniz.

Her ne kadar bu anlatılanlar zafiyeti sömürmek için bir yol haritası sunsa da, kesinlikle etik kurallar çerçevesinde kalmanız gerektiğini unutmamalısınız. Yasal izinler olmadan herhangi bir sistem üzerinde bu tür işlemler yapmak, ciddi yasal sonuçlar doğurabilir. Zafiyetleri istismar etmek yerine, bu tür bilgileri kullanarak güvenlik açıklarını kapatmaya yönelik çalışmalar yapmalıyız. Dostça, güvenli ve işbirliği içinde bir dijital dünya yaratmak için daha fazla bilgi paylaşmanın ve eğitimin önemini vurgulamak gerekir.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Windows Installer'da bulunan CVE-2021-41379 zafiyeti, siber saldırganların sistemdeki ayrıcalıkları artırmasına olanak tanır. Bu zafiyet, bir saldırganın basit bir şekilde sistemde yeterli izinlere sahip olmadığında, kötü amaçlı bir yükleyici aracılığıyla bu izinleri elde etmesini sağlar. Bu durum, özellikle bir siber saldırı sonrası adli bilişim ve log analizi süreçlerinde, olayların tespit edilmesi açısından büyük bir önem taşır.

Adli bilişim uzmanları, bu tür bir zafiyeti tespit etmek için sistem loglarına ve SIEM (Security Information and Event Management) çözümlerine başvururlar. Log dosyalarında, özellikle erişim logları (Access log) ve hata logları (Error log) dikkatle incelenmelidir. Saldırganın gerçekleştirdiği eylemler sıklıkla izlenebilir ve bu sayede saldırının doğası hakkında belirli bilgilere erişim sağlanabilir.

Birincil olarak, zafiyeti kullanarak elde edilebilecek olan sistem izinlerini artırmak isteyen bir saldırgan, genellikle "msiexec.exe" dosyası üzerinden işlemler başlatır. Bu yüzden, sistemde msiexec.exe ile başlatılan işlemleri izlemek kritik bir adımdır. Aşağıda, sistem logları üzerinde bu süreçlerin nasıl takip edileceğine dair bir örnek verilmiştir.

: 2023-10-01 12:00:01 msiexec.exe -i maliciousinstaller.msi
: 2023-10-01 12:00:02 User: SYSTEM started a privileged process.

Log analizleri sırasında dikkat edilmesi gereken diğer önemli imzalar ise, olağandışı kullanıcı etkinlikleri ve süresiz (persistent) sistem değişiklikleridir. Örneğin, saatler boyunca sürekli msiexec.exe'nin çalıştığını görmek veya yazılım yükleme işlemlerinin gün içerisinde beklenmedik bir şekilde artması, bu zafiyeti kullanan bir faaliyetin belirtisi olabilir.

CVE-2021-41379'un etkilerini analiz etmek için ayrıca, log dosyalarında aşağıdaki durumları kontrol etmek de faydalıdır:

Kullanıcılara atanan farklı süreç kimlikleri (PID) üzerinden yapılan testler.
Bilgisayarın kaynaklarını aşırı kullanan uygulamalar.
Bilinmeyen veya beklenmedik yazılımların yüklenmesi.
Kullanılmayan veya aktif görünen ancak aslen sustuğu anlaşılan sistem hizmetleri.

Siber güvenlik uzmanları, bu imzalara dayanarak öngörüler geliştirebilir ve potansiyel bir tehdit durumunu belirleyip önlem alabilirler. Örneğin, bir kullanıcının izni olmadan bir yazılım yüklemeye çalıştığını ve bu işlemin beklenmedik bir yetki seviyesi ile devam ettiğini görmek, CVE-2021-41379 zafiyetinin suistimal edildiğini düşündürtebilir.

Adli bilişim süreçlerinde, Windows Installer'ın kullanımı ile ilgili kaydedilen detaylı log verileri, siber olayların araştırılması ve çözülmesi açısından kritik öneme sahiptir. Kendi sistemlerini korumak isteyen kuruluşlar, bu tür imzi ve aktif süreçleri inceleyerek, olası siber saldırıları erken tespit etme kabiliyetlerini artırabilirler. Ayrıca, bir saldırı tespit edildikten sonra, etkilenen sistemde güvenlik önlemleri devreye alınmalı ve sistem geri yükleme işlemleri gerçekleştirilmelidir. Unutulmamalıdır ki, proaktif bir yaklaşım her zaman tehdidi minimize eder.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Windows Installer'daki CVE-2021-41379 zafiyetinin, kötü niyetli bir aktör tarafından istismar edilmesi durumunda ciddi sonuçlar doğurabileceği göz ardı edilmemelidir. Bu zafiyet, kullanıcının sistem üzerinde yetkilerini artırmasına olanak tanıyarak sistemin tüm denetimini ele geçirme riski taşımaktadır. Zafiyetin etkileri, özellikle kurumsal ortamlarda, RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) imkanı sunmaktan kaynaklanmaktadır.

Zafiyetin istismarı, genellikle kötü amaçlı bir yazılımın, Windows Installer bileşeni aracılığıyla hedef sistemde yetki kazanmasıyla başlar. Zayıf yerlerin varlığı, ciddi sonuçlara yol açabilecek bir dizi saldırıyı tetikleyebilir. Örneğin, kullanıcıların gerekli izinlerine sahip olmadığı halde, kötü niyetli bir yazılım kurulumları yapmalarına veya sistem yapılandırmalarını değiştirmelerine olanak tanıyabilir. Bu tür bir durum, bir şirketin veri bütünlüğü ve güvenliği açısından ciddi riskler oluşturur.

Bu zafiyeti kapatmanın en etkili yolu, Windows Installer ve ilgili bileşenlerin düzenli olarak güncellenmesidir. Microsoft, bu tür zafiyetleri kapatmak için yamalar yayınlamakta ve bu yamaların uygulanması, sistemin güvenliğini artırmak adına kritik bir adım teşkil etmektedir. Kötü niyetli yazılımların sistemde yer etmesini engellemek için aşağıdaki sıkılaştırma (hardening) önerileri uygulanabilir:

Güvenliği Artırılmış Kullanıcı Hesapları Kullanma: Kullanıcıların sistem üzerinde yönetici yetkilerine sahip olmaktan kaçınması sağlanmalıdır. Standart hesapların kullanılması, bu tür zafiyetlerin etkisini minimize edebilir.
Uygulama Beyaz Listesi: Sistemde yalnızca belirli uygulamaların çalışmasına izin veren bir beyaz liste oluşturulması, kötü niyetli yazılımların yüklenmesini önleyebilir. Örneğin, Windows Defender Application Control (WDAC) gibi çözümler kullanılabilir.
Düzenli Yedekleme: Sistem yedeklemeleri yapılmalı ve bu yedeklerin güvenli bir ortamda saklanması sağlanmalıdır. Zafiyetin istismar edilmesi durumunda, sistemin hızlı bir şekilde eski bir duruma döndürülebilmesi büyük önem taşır.
Gelişmiş Güvenlik Duvarı Ayarları: Alternatif Firewall (WAF) kuralları uygulanarak, gelen ve giden trafiğin kontrolü sağlanmalı, şüpheli etkinlikler tespit edildiğinde engelleyici mekanizmalar devreye alınmalıdır. Örneğin, özellikle Windows Installer'ı hedef alan işlemler için özel kurallar tanımlanabilir.
Eğitim ve Farkındalık: Kullanıcılara yönelik güvenlik eğitimi verilmesi, sosyal mühendislik saldırılarına karşı bir savunma mekanizması oluşturur. Çalışanların, şüpheli aktiviteleri raporlaması teşvik edilmelidir.

Sonuç olarak, CVE-2021-41379 zafiyeti, sistem üzerinde ciddi etkiler yaratabilecek bir güvenlik açığıdır. Yukarıda belirtilen güvenlik önlemleri ve sıkılaştırma stratejileri ile bu tür zafiyetlerin etkisi azaltılabilir. Uzun vadeli başarı için sürekli izleme, güncellemeler ve kullanıcı eğitimleri sağlanmalıdır. Sistem güvenliğinin sağlanması, bir kurumun siber güvenlik duruşunda kritik bir rol oynamaktadır.