CVE-2022-26904: Microsoft Windows User Profile Service Privilege Escalation Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

CVE-2022-26904, Microsoft Windows User Profile Service'inde (Kullanıcı Profil Servisi) bulunan bir yetki yükseltme zafiyetidir. Bu zafiyet, kullanıcının sistemde daha yüksek yetkilerle çalışmasına olanak tanıyabilir, bu da kötü niyetli bir saldırganın sistem üzerinde tam kontrol elde etmesine yol açmaktadır. Özellikle, bu tür zafiyetler, bir sistemin güvenlik duvarını aşarak yetkisiz erişim sağlamada kullanılır. Bu yazımızda, zafiyetin tarihçesi, etki alanı ve kullanılan kütüphanelerdeki problemi derinlemesine inceleyeceğiz.

CVE-2022-26904, 2022 yılında keşfedilmiş ve Microsoft tarafından düzeltme amaçlı bir güncelleme yayınlanmıştır. Kullanıcı Profil Servisi, Windows işletim sisteminde kullanıcı hesapları ve profilleri ile ilgili işlemleri yöneten bir bileşendir. Bu servis, kullanıcıların kişisel ayarlarını ve dosyalarını yöneten kritik bir yapı taşını oluşturmaktadır. Ancak, bileşendeki belirsiz bir zafiyet, kullanıcının mevcut yetkilerini artırmasına neden olabilecek bir güvenlik açığı yaratmıştır.

Zafiyetin teknik detaylarına bakacak olursak, bu sorun kendi içinde bir "authority bypass" (yetki atlaması) mekanizması barındırmaktadır. Saldırgan, sistemdeki bir kullanıcı hesabı üzerinden geçici veya kalıcı olarak daha yüksek yetkiler elde edebilir. Bu tür bir geçiş, genellikle işletim sisteminin çekirdek bileşenleriyle etkileşime geçen kullanıcı düzeyinde kod yazımında ortaya çıkmaktadır. Söz konusu zafiyet, kötü niyetli yazılımların veya komut dosyalarının (script) sisteme sızmasında kritik bir rol oynayabilir. Güncellemelerle ilgili olarak, Microsoft, bu açığın kötüye kullanılmasını önlemek amacıyla kullanıcıları güvenlik yamalarını yüklemeye teşvik etmiştir.

CVE-2022-26904'ün etkisi dünya genelinde birçok sektörde hissedilmiştir. Özellikle finansal, sağlık ve teknoloji sektörleri, bu tür güvenlik açıklarına karşı oldukça duyarlıdır. Bu sektörlerdeki sistemlerin genellikle güncellenmiş ve güvenli olması beklenirken, bu zafiyetin varlığı, veri sızıntılarına ve büyük finansal kayıplara yol açabilmektedir. Örneğin, bir finans kuruluşundaki bir saldırgan, kullanıcı profili aracılığıyla yetkilerini artırarak banka sistemlerine erişebilir ve önemli bilgileri çalabilir. Benzer şekilde, sağlık sektöründe hastaların hassas bilgileri rüzgar gibi savrulabilir.

Güvenlik testlerinde (pentesting), bu tür zafiyetlerin tespit edilmesi ve raporlanması oldukça önemlidir. Black Hat (Kötü Niyetli Hacker) tarafından kullanılabilecek bu zafiyet, White Hat (İyi Niyetli Hacker) topluluğu için de bir uyanış olmalıdır. Güvenlik uzmanları, bu tür açığı keşfetmek için çeşitli araçlar ve teknikler kullanarak, zafiyetin etkilerini en aza indirmek için proaktif adımlar atmalıdır.

Sonuç olarak, CVE-2022-26904 gibi yetki yükseltme zafiyetleri, saldırganların sistemlere daha derinlemesine sızmalarına olanak tanır. Kullanıcı Profil Servisi'nde bulunan bu tür zafiyetlerin keşfi ve düzeltilmesi, siber güvenliği sağlamak için kritik öneme sahiptir. Bu nedenle, hem yazılım geliştiricilere hem de kullanıcıların bu tür güvenlik açıklarına karşı dikkatli olmaları önerilmektedir. Tekrar eden güvenlik yamaları ve güncellemeleri yüklemek, bu tür zafiyetlerin kötüye kullanılmasını önemli ölçüde azaltacaktır.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Windows User Profile Service (UPS) içindeki CVE-2022-26904 güvenlik açığı, kötü niyetli bir kullanıcının yerel sistemdeki izinlerini artırmasına olanak tanımaktadır. Bu durum, saldırganların sistem üzerinde daha fazla kontrol sahibi olabilmesine ve hassas verilere ulaşabilmesine yol açabilmektedir. Bu yazıda, bu zafiyeti nasıl sömürebileceğimizi adım adım inceleyeceğiz ve gerçek dünya senaryolarına değineceğiz.

İlk aşamada, bu güvenlik açığını test etmek için hedef sistemdeki User Profile Service’ın hangi versiyonunu çalıştırdığını öğrenmemiz gerekiyor. Windows işletim sistemlerinde kullanılan komutlar ile bu bilgiyi edinebiliriz. Örneğin, ver komutu, sistem versiyon bilgilerini görebilmemizi sağlar.

İkinci aşama, zafiyetin varlığını doğrulamaktır. Bu zafiyet, kullanıcıların profillerine erişim sağlayarak, sistemde yüklü olan uygulamalara daha fazla yetki ile girmelerine yol açabilir. Kötü niyetli bir kullanıcı, oturum açma işlemi ile yetkilerini artırabilir. Burada, gerekli araçları kullanarak hedef sistemin profil ayarlarını incelemek önemlidir. Windows Bu bağlamda, aşağıdaki gibi bir PowerShell komut dizisi ile mevcut kullanıcı profillerini listelemek mümkündür:

Get-WmiObject Win32_UserProfile | Select-Object LocalPath, SID

Üçüncü aşamada, User Profile Service’a yönelik istekler yapmalıyız. Bu aşamada, sosyal mühendislik veya kimlik avı teknikleri ile hedef kişiyi manipüle edebiliriz. Örneğin, bir phishing (oltalama) saldırısı düzenleyerek kullanıcıdan yetkili bir uygulamayı çalıştırmasını isteyebiliriz. Bu durumda, belirli bir dosyayı çalıştırdığı anda zafiyetten yararlanarak daha yüksek yetki ile sistemi ele geçirebiliriz.

Dördüncü aşama, özellikle hedef sistemin zayıf noktalarını kötüye kullanmaktır. Örneğin, bir kötü niyetli kullanıcı, kendi profilini oluşturmak için Windows GUI'sini kullanarak sisteme giriş yapabilir. Kullanıcının profiline yukarıda belirtilen komutla erişim sağladıktan sonra, aşağıdaki gibi bir Python betiği yazılarak dosya yönetimi gerçekleştirilebilir.

import os

def execute_malicious_code():
    os.system("net user hacker Password123 /add")  # Yeni bir kullanıcı ekle
    os.system("net localgroup administrators hacker /add")  # Yönetici olarak ekle

execute_malicious_code()

Son aşama, daha fazla kontrol sağlamaktır. Söz konusu exploit (sömürü aracı), sistemde bir arka kapı (backdoor) açarak yönetici haklarına sahip bir kullanıcı oluşturabilir. Böylece, daha sonra bu kullanıcı ile sisteme erişim sağlayarak, veri sızıntısı gerçekleştirebilir ya da veri bütünlüğüne zarar verebiliriz. Kısaca, bu açık kötü amaçlı kodların çalıştırılabileceği bir kapı açmaktadır.

Güvenlik açıklarının sömürülmesi, etik bir çerçeve içerisinde gerçekleştirilmelidir. Önerilen adımlar yalnızca güvenlik uzmanları veya etik hackerlar tarafından sistemin güvenliğinin artırılması amacıyla kullanılmalıdır. Zafiyetler hakkında farkındalık yaratmak, aynı zamanda sistem yöneticilerine çözüm yolları sunmak için kritik öneme sahiptir. Bu tür açıklıkların araştırılması ve tespiti, kurumların siber güvenlik seviyelerini artırmalarına yardımcı olacaktır.

Forensics (Adli Bilişim) ve Log Analizi

CVE-2022-26904, Microsoft Windows işletim sistemindeki User Profile Service'i etkileyen ve yetki yükseltmesine (privilege escalation) neden olabilecek bir güvenlik açığıdır. Bu tür zafiyetler, kötü niyetli aktörlerin sistem üzerindeki yetkilerini artırmasına ve kritik bilgilere ulaşmasına olanak sağlar. Kullanıcı profili hizmetindeki bu tür belirsiz zafiyetlerin tespiti, adli bilişim (forensics) ve log analizi açısından hayati öneme sahiptir.

Bir siber güvenlik uzmanı olarak, bu tür bir saldırının izlerini tespit etmek için kullanabileceğiniz yöntemleri ve bakmanız gereken log dosyalarını şu şekilde özetleyebiliriz:

Öncelikle, CVE-2022-26904 gibi bir açığın istismar edilip edilmediğini anlamak için olayın log kaynağını incelemek önemlidir. Özellikle, Windows işletim sisteminin Event Viewer (Olay Görüntüleyici) bileşeninde bulunan Application ve Security logları (log dosyaları) incelemeye değerdir. Bu log dosyalarındaki karmaşık giriş çıkış işlemleri, olağan dışı yetkili işlemlerin izlerini gösterebilir.

Bir sistemde yetki yükseltmeye yönelik bir tehdit olduğunu düşündüğünüzde, aramanız gereken belirli imzalar arasında şunlar bulunur:

Olağan Dışı Olay Kimlikleri (Event IDs): Kullanıcı profilinin yaratılması veya değiştirilmesi ile ilgili olarak, aşağıdaki olay kimliklerini kontrol edebilirsiniz:

Olay Kimliği 4663: Bir nesneye erişim girişimi.
Olay Kimliği 4672: Özel hakların verilmesi.
Olay Kimliği 4768 ve 4769: Kerberos oturum açma olayları.

Bu olay kimlikleri, olası yetki yükseltme girişimlerine işaret edebilir.

Failed Login Attempts (Başarısız Giriş Girişimleri): Sık sık başarısız oturum açma denemeleri, bir saldırganın brute force (kaba kuvvet) yöntemi ile sistem üzerinde yeterlilik kazanma çabalarını göstermektedir. Bu sebeple Security log'ları (Güvenlik logları) üzerinde sıkı bir takip yapmak gereklidir.
İlgili Uygulama ve Servis Logları: User Profile Service'in etkilendiği uygulama logları da büyük önem taşır. İşletim sistemi güncellemeleri, kullanıcı hesabı yönetimi ve diğer sistem etkinlikleri, anormal aktivitelerin izlerini taşıyabilir. Gözlemlenen anormal davranışa örnek olarak, kullanıcı profillerinin belirli bir zaman aralığında olağan dışı sıklıkta yaratılması veya değişmesi verilebilir.

Log analizi sürecinde, güvenlik uzmanları genellikle alarmı tetikleyen aktiviteleri ayrıntılı bir şekilde not almalıdır. Bu süreçte, kullanıcıların profil ayarlarını değiştirmeleri, yeni kullanıcı hesapları oluşturup bunları yetkilendirmeleri veya belirli sistem dosyalarına erişim sağlama girişimlerini içeren log girişlerini dikkatlice incelemek gerekir. Basit bir istismar, özellikle kötü niyetli bir kullanıcının yükseltilmiş yetkilere ulaşabilmesi için bir takvim başlatabilir.

Son olarak, siber güvenlik uzmanlarının CVE-2022-26904 gibi zafiyetleri engelleyebilmesi için, güncel güvenlik yamalarının uygulanmasının yanı sıra, sürekli log analizi, sistem etkinlik izleme ve uyarı mekanizmalarının etkin kullanımı gerekmektedir. Böylece, sistemin güvenliği artırılabilir ve olası zafiyetlerden kaynaklı tehditler minimize edilebilir.

Savunma ve Sıkılaştırma (Hardening)

CVE-2022-26904, Microsoft Windows platformundaki User Profile Service (Kullanıcı Profil Servisi) bileşeninde bulunan bir zafiyet olarak, yetki arttırımı (privilege escalation) olanağı sunan ciddi bir güvenlik açığıdır. Saldırganlar, bu açığı kullanarak, düşük yetkilere sahip bir kullanıcının hesabını istismar edebilir ve sistemde daha yüksek yetkilere sahip hale gelebilir. Bu tür açıklar, saldırganların tam kontrolü ele geçirebilmesi için geniş bir zemin oluşturabilir ve sistemin bütünlüğünü tehdit edebilir.

Zafiyetin istismar edilmesi, siber saldırganların kritik sistem dosyalarına erişim sağlamasına, hassas verilere ulaşmasına ve organizasyonun savunma yapısını aşmasına neden olabilir. Özellikle, yetkisiz erişim sağlanarak gerçekleştirilen uzaktan kod yürütme (RCE – Remote Code Execution) saldırıları, organizasyonlar için büyük riskler doğurabilir. Bu nedenle, CVE-2022-26904 zafiyetinin etkili bir şekilde kapatılması ve sistemlerin sıkılaştırılması son derece önemlidir.

İlk adım olarak, Microsoft tarafından sağlanan güncellemelerin uygulanması gerekmektedir. Microsoft, bu zafiyet ile ilgili bir yamanın mevcut olduğunu duyurmuştur. Bu nedenle, işletim sisteminizi güncel tutmak ve yamaları düzenli olarak kontrol etmek, güvenlik açıklarını kapatmanın en etkili yollarından biridir. Güncellemeler, genellikle güvenlik zafiyetlerini gidermek için gerekli düzeltmeleri içerir. Örneğin, güncellemeleri yüklemek için şu komutları kullanabilirsiniz:

# Windows Update ile güncelleme kontrolü
Start-Process -FilePath "powershell.exe" -ArgumentList "-Command", "Get-WindowsUpdate" -Wait

İkinci olarak, sistem yapılandırmalarını gözden geçirmek ve güvenlik politikalarını sıkılaştırmak önemlidir. User Profile Service, genellikle istemcinin kullanıcı profillerini yönetir. Ancak, bu servisin misconfigured (yanlış yapılandırılmış) olması, zayıf noktaların artmasına yol açabilir. Kullanıcı profillerinin erişim izinlerini sıkı bir şekilde yönetmek ve yalnızca gerekli yetkilere sahip kullanıcıların erişimini sağlamak, bu açığa karşı alınacak önlemler arasında yer alır.

Alternatif bir güvenlik duvarı (firewall) politikası oluşturarak, yapılandırmanın daha etkili hale getirilmesi mümkün olabilir. Örneğin, aşağıdaki WAF kuralı, bilinmeyen kullanıcı profillerine erişim taleplerini engelleyerek bu tür istismarların önüne geçebilir:

SecRule REQUEST_URI "@contains /userprofiles" "id:1000001,phase:2,deny,status:403,msg:'Unauthorized access to user profile service'"

Son olarak, sistemin sürekli olarak izlenmesi ve güvenlik açığı taramalarının yapılması da gereklidir. Özellikle, yaptığınız taramalarda buffer overflow (tampon taşması) ve auth bypass (kimlik doğrulama atlaması) gibi yaygın güvenlik zafiyetlerine odaklanmalısınız. Güncellemeler, güvenlik sıkılaştırmaları ve düzenli denetimler, güvenlik düzeyinizi önemli ölçüde artıracaktır.

Tüm bu öneriler, CVE-2022-26904 gibi zafiyetlerin sistem üzerinde yaratabileceği olumsuz etkileri en aza indirmek için gerekli adımlardır. CyberFlow platformunu kullanırken, sürekli eğitim ve farkındalık oluşturmak da önemli bir strateji olmalıdır. Sonuç olarak, zafiyetleri kapatmak ve sistemleri sıkılaştırmak, siber güvenlik alanında kalıcı bir koruma sağlamak için atılması gereken temellerdir.