CVE-2023-36424: Microsoft Windows Out-of-Bounds Read Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Microsoft Windows ortamında ortaya çıkan CVE-2023-36424 zafiyeti, siber güvenlik alanında ciddi bir tehdit oluşturmakta. Bu zafiyet, Microsoft Windows Common Log File System Driver (CLFS) bileşeninde bulunan bir out-of-bounds read (sınır dışı okuma) açığından kaynaklanmaktadır. Bu durum, kötü niyetli bir saldırganın sistemde yetki yükseltme (privileges escalation) sağlamasına olanak tanıyabilir.

Zafiyetin tarihçesi, ilk olarak Ekim 2023'te keşfedildi ve detayları hızla dünya genelindeki siber güvenlik toplulukları tarafından paylaşılmaya başlandı. Microsoft, bu zafiyeti içeren güncellemeyi hızla yayımlasa da, kullanıcıların bu güncellemeleri uygulama oranı her zaman yeterince yüksek olmamaktadır. Bu nedenle, birçok sistemde CVE-2023-36424 zafiyetinin yarattığı riskler devam etmektedir.

Zafiyet, Common Log File System Driver kütüphanesinde (CLFS) mevcut bir hata ile ilişkilidir. CLFS, Windows işletim sistemlerinde günlükleme (logging) işlevselliğini sağlamak için kullanılan bir bileşendir. Bu bileşen, sistemin durumu ve uygulama aktiviteleri hakkında kritik bilgiler depolar. Çeşitli işlem ve etkinliklerin log'lanması, olay incelemesi ve sorun giderme açısından önemlidir. Ancak, CLFS'nin sınır dışı okuma (out-of-bounds read) hatası, veri bütünlüğünü tehlikeye atmakta ve saldırganların hassas bilgilere erişimini kolaylaştırmaktadır.

Bu tür bir zafiyet, özellikle finans, sağlık ve kamu güvenliği gibi kritik sektörlerde ciddi sonuçlara yol açabilir. Finans sektöründe, müşterilere ait hassas bilgilerin sızdırılması, dolandırıcılık ve kimlik avı (phishing) saldırılarına kapı aralayabilir. Sağlık sektörü, hasta kayıtlarının bütünlüğü ve güvenliği açısından son derece önemlidir ve bu tür bir zafiyet, kişisel sağlık bilgilerini tehlikeye atabilir. Kamu güvenliği alanında ise, hükümet sistemleri ve altyapısının tehdit altında olması, ulusal güvenliği zedeleyebilir.

Real dünya senaryolarında, bu tür zafiyetler genellikle saldırganlar tarafından bir adım daha ileri götürülerek uzaktan kod yürütme (Remote Code Execution - RCE) veya yetki aşımı (Authorization Bypass) gibi daha büyük saldırılar için bir başlangıç noktası olarak kullanılmaktadır. Örneğin, bir saldırgan, ilk önce zafiyet aracılığıyla sistemde gerekli yetkileri eline geçirebilir, ardından daha büyük ve yıkıcı saldırılar gerçekleştirebilir.

Kötü niyetli bir saldırgan, exploit (sömürü) araçları kullanarak bu zafiyeti hedef alabilir. Kötü amaçlı yazılımlar, zayıf sistemleri tespit edip bu tür açıkları kullanarak kurban sistemlere sızabilir. Dolayısıyla, işletmelerin, güvenlik güncellemelerini zamanında uygulamaları ve sistemlerini sürekli olarak izlemeleri hayati önem taşımaktadır.

Sonuç olarak, CVE-2023-36424 zafiyeti, Windows sistemlerinin güvenliğini tehdit eden önemli bir güvenlik açığıdır. Bu tür zafiyetlerin varlığı, siber güvenlik önlemlerinin etkinliğini sorgulatmakta ve siber güvenlik alanında proaktif adımlar atmanın gerekliliğini ortaya koymaktadır. White Hat Hacker’lar olarak, bu tür zafiyetleri tespit etmek ve düzeltmek amacıyla sürekli olarak eğitim almak ve bilgimizi güncel tutmak zorundayız.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Windows platformu, yaygın olarak kullanılan bir işletim sistemi olmasının yanı sıra, aynı zamanda çeşitli güvenlik açıklarına da ev sahipliği yapmaktadır. Bu bağlamda, CVE-2023-36424 kodlu zafiyet, Microsoft Windows Common Log File System Driver'da (CLFS) tespit edilen bir out-of-bounds read (sınır dışı okuma) zafiyetidir. Bu tür zafiyetler, bir saldırganın sistemde yetki yükseltme (privilege escalation) gerçekleştirmesine olanak tanıyabilir. Bu yazıda, söz konusu açığın teknik sömürü aşamalarını ele alacağız.

Sistem zafiyetinin daha iyi anlaşılabilmesi için, ilk önce CVE-2023-36424’ün temel mantığını incelemek önemlidir. Zafiyet, bellek yönetimi hatalarına dayanmaktadır ve özellikle buffer overflow (tampon taşması) gibi saldırılara zemin hazırlayabilir. Bu durumda, saldırganlar hedef sistemde mevcut verilere erişim sağlayarak, hassas bilgileri çalabilir veya kötü niyetli aktiviteler gerçekleştirebilir.

Sömürü süreci genellikle aşağıdaki aşamalardan oluşur:

Kumar ve Hazırlık Aşaması: Zafiyetin varlığını belirlemek için hedef sistemin sürüm numarası ve yapılandırması gerekmektedir. Microsoft'un güncellemelerine ve sistemin CRLs (Certificate Revocation Lists) gibi güvenlik parametrelerine erişim sağlamak kritik bir başlangıçtır. Bunun için, aşağıdaki gibi bir PowerShell komutu kullanılabilir:

   Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion" | Select-Object Version

Zafiyetin Tespiti: Hedef sistemde zafiyetin etkinliğini test etmek için, CLFS'ye gönderilecek özel hazır veriler oluşturulmalıdır. Burada, hatalı bir bellek erişim modeli oluşturmanız ve hedef sistemde belirli bir dosya ile bu modelin etkileşime geçmesini sağlamanız gerekmektedir. Bu aşamada, özel bir veri yapısı oluşturmanız faydalı olacaktır.
PoC (Proof of Concept) Geliştirme: Aşağıdaki örnek, zafiyetin ispatı için bir Python exploit taslağıdır. Saldırı modelinin uygulanabilmesi için hedef sistemde CLFS ile etkileşimde bulunacak aşağıdaki gibi bir kod geliştirilebilir:

   import socket

   HOST = 'hedef_ip_adresi'
   PORT = hedef_port

   payload = b'A' * 1000  # Zafiyeti tetiklemek için hatalı bir veri

   with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s:
       s.connect((HOST, PORT))
       s.sendall(payload)
       response = s.recv(4096)
       print('Alınan cevap:', response)

Yetenek Yükseltimi (Privilege Escalation): Zafiyet başarılı bir şekilde çalıştırıldıktan sonra, sistemde yetki yükseltme aşamasına geçilir. Bu aşamada, hedef sistemin kullanıcı yetkilerini artırarak, saldırganın daha hassas verilere erişim sağlaması beklenir. Bunun için, CLFS’de daha önce bulunmayan bir dosya veya kaynak yaratmak oldukça kritiktir.
Temizleme ve İzlerin Gizlenmesi: Son aşama, saldırıdan sonra sistemin izlerini gizlemektir. Bunun için log dosyalarını temizlemek ve şüpheli aktiviteleri gizlemek için çeşitli araçlar kullanılabilir.

Bu zafiyeti sömürmenin birçok riski bulunmaktadır. Sadece hedef sistemde yetki yükseltmekle kalmayıp, aynı zamanda ağ üzerindeki diğer sistemlere de saldırılar gerçekleştirmek mümkündür. Önemli olan, bu tür zafiyetlerin erken tespit edilmesi ve güncellemelerin ihmal edilmemesidir. Bunun yanı sıra, yazılım geliştiricilerinin güvenlik best-practice’lerine uygun olarak sistemlerini tasarlamaları, bu tür saldırılara karşı yeterli önleyici tedbirlerin alınmasına olanak tanır.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Windows işletim sisteminde, Common Log File System Driver (CLFS) içinde tespit edilen CVE-2023-36424 zafiyeti, bir out-of-bounds read (sınır dışı okuma) açığıdır. Bu tür zafiyetler, genellikle saldırganların yazılımın beklenmeyen bir bölgesine erişerek hassas verilere ulaşmalarına olanak tanır. Bu durum, bir yetkilendirme ihlaliyle (privilege escalation) sonuçlanabilir ve saldırganlara sistem üzerinde üst düzey erişim yetkileri kazandırabilir.

CyberFlow platformu gibi siber güvenlik çözümleri, adli bilişim (forensics) ve log analizi açısından oldukça kritik bir rol oynar. Bir olay sonrası analiz yapılırken, log dosyalarında (günlük dosyaları) belirli imzaların (signature) tespit edilmesi ve bu imzaların incelenmesi, zafiyetin nasıl istismar edildiğini anlamak açısından önemlidir.

Bu tür bir açığın tespit edilmesi için dikkat edilmesi gereken bazı anahtar noktalar bulunmaktadır. Öncelikle, sistem loglarında (system logs) anormal davranışların ve girişimlerin izlenmesi gerekmektedir. Örneğin:

Erişim Logları (Access Logs): Kullanıcı girişleri, sistemde gerçekleştirilen işlemler ve dosya erişimleri gibi verileri içerir. Anormal IP adreslerinden gelen sık erişim talepleri veya beklenmedik kullanıcı etkinlikleri dikkatlice analiz edilmelidir. Örneğin:

   192.168.1.100 - - [22/Sep/2023:14:04:00 +0000] "GET /admin/dashboard" 401 2323

Hata Logları (Error Logs): Sistem hataları veya uygulama hataları bu loglarda yer alır. Zafiyetin istismarına dair ipuçları aramak için bu loglar sıklıkla gözden geçirilmelidir. Hatalara neden olan anormal işlem yapıları, RCE (Remote Code Execution - Uzaktan Kod Çalıştırma) ve Buffer Overflow (Tampon Taşması) gibi olaylar burada önemli bir işaret olabilir.
Yetkilendirme Logları (Authorization Logs): Kullanıcıların hangi yetkilerle ne tür işlemleri gerçekleştirdiğine dair bilgileri içerir. Yetkisiz erişim denemeleri veya geçersiz kullanıcı oturum açma girişimleri gibi durumlar bu loglarda belirgin hale gelir.

Saldırının izini sürerken, özellikle şunlara dikkat edilmelidir:

Beklenmeyen Yüksek RPM (Requests Per Minute): Sistem üzerinde anormal bir yük gerçekleşmişse, bu durum potansiyel bir saldırının işareti olabilir.
Kötü Amaçlı Yazılım İmzası: Anti-virüs yazılımlarının ve güvenlik çözümlerinin logları, olağandışı davranış sergileyen veya kötü amaçlı yazılımlar tarafından imzalanmış yazılımlara dair kayıtları içerebilir.
Kullanıcı Davranış Anomalileri: Kullanıcıların normal davranışlarının dışına çıkan aktiviteler, potansiyel bir zafiyetin veya iç tehditin varlığını gösterebilir.

Adli bilişim çalışmaları yürütülürken etkin log analizi yapmak, siber saldırıların tespit edilmesi ve önlenmesinde kritik bir adımdır. CyberFlow platformu, bu tür durumlarda sistem yöneticilerine kapsamlı bir görünürlük sunarak güvenlik olaylarına hızlı yanıt verme imkanı tanımaktadır.

Sonuç olarak, Microsoft Windows üzerindeki CVE-2023-36424 zafiyeti gibi kritik zafiyetlere karşı, sistem yöneticileri ve siber güvenlik profesyonelleri, etkili log analizi ve adli bilişim süreçlerini uygulayarak, potansiyel tehditleri en aza indirebilirler. Bu süreçlerde kullanılan teknik terimler, hem güvenlik stratejileri oluşturulurken hem de olayın detaylı analizinde büyük önem arz etmektedir.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Windows işletim sistemi, kullanıcıların günlük yaşamlarında en yaygın kullanılan platformlardan biridir. Bununla birlikte, bu yaygınlık aynı zamanda kötü niyetli yazılımlar ve siber saldırılara karşı da bir hedef haline gelmiştir. CVE-2023-36424, Microsoft Windows'un Common Log File System Driver bileşeninde bulunan kritik bir "out-of-bounds read" (sınır dışı okuma) zafiyetidir. Bu sorun, yetkisiz bir saldırganın belirli koşullar altında sistemde yetki yükseltmesi (privileges escalation) gerçekleştirmesine olanak tanıyabilir. Bu tür zafiyetler, genellikle uygulama düzeyinde hatalar nedeniyle ortaya çıkar ve siber güvenlik alanında son derece ciddi tehditler olarak kabul edilir.

Bu zafiyetin kötüye kullanılmasının önüne geçmek ve sistemin güvenliğini artırmak için savunma ve sıkılaştırma (hardening) teknikleri son derece önemlidir. Savunma mekanizmalarının yanı sıra, yazılım güncellemelerini ve yamaları düzenli olarak uygulamak, saldırı yüzeyini azaltacaktır. Örneğin, Microsoft bu tür zafiyetler için genellikle hızlı bir güncelleme sağlayarak bu tür tehditlere karşı ilk savunma hattını oluşturur.

İlk adım olarak, sistem yöneticileri ve güvenlik ekipleri, Microsoft’un resmi güvenlik bültenleri ve güncellemeleri hakkında bilgi sahibi olmalıdır. CVE-2023-36424 gibi zafiyetler için yayımlanan yamaların bir an önce uygulanması, sistemin güvenliğini artırır. Bunun yanı sıra, ağ güvenliği için ek önlemler almak da faydalı olacaktır. Bir alternatif "Web Application Firewall" (WAF) kurulumu yaparak, şüpheli hareketleri filtrelemek ve sınırlamak mümkündür. Örnek bir WAF kuralı, belirli bir IP adresinden gelen olağan dışı istekleri engelleyebilir:

SecRule REMOTE_ADDR "@ipMatch 192.168.1.10" "id:10001,phase:1,deny,status:403"

Bu kural, belirli bir IP adresine gelen saldırgan girişimlerini sıkı bir şekilde hâkimiyet altına alır.

Buna ek olarak, sistemin sıkılaştırılması için "principle of least privilege" (en az ayrıcalık ilkesi) uygulamak gereklidir. Kullanıcılara ve uygulamalara yalnızca ihtiyaç duydukları izinler verilmelidir. Bu, bir saldırganın herhangi bir zafiyetten yararlanarak daha fazla zarar vermesini zorlaştırır. Kullanıcı hesaplarının yönetimi, zafiyetin kötüye kullanılmaması adına büyük öneme sahiptir. Kullanıcılara yönetici yetkileri verilmeden, gerektiği durumlarda geçici erişim sağlanmalıdır.

Veri bütünlüğünü korumak için, güncel antivirüs yazılımlarının yanı sıra, işletim sisteminin ve uygulamaların düzenli olarak güncellenmesi de kritik öneme sahiptir. Yazılım tedarikçileri, sıklıkla ortaya çıkan zafiyetler için güncellemeler yayınlamaktadır; bu güncellemelerin zamanında uygulanmaması, sistemleri tehlikeye atarak siber saldırılara karşı savunmasız bırakmaktadır.

Son olarak, sistemlerin güvenliğini artırmak için "intrusion detection systems" (IDS) kullanılması önerilmektedir. Bu tür sistemler, ağdaki anormal aktiviteleri tespit ederek hızlı müdahale etmeyi sağlar. Potansiyel saldırıların tespit edilmesi için log dosyalarının analizi yapılmalı ve sistemin davranışları sürekli olarak izlenmelidir. Özellikle zafiyetin tetiklenebileceği anormal erişim veya komut dizileri gözlemlendiğinde erkenden önlem almak mümkündür.

Sonuç olarak, CVE-2023-36424 gibi ciddi zafiyetleri minimize etmek için sürekli bir sıkılaştırma süreci gereklidir. Yazılım yamalarının yanı sıra, ağ güvenliği önlemleri alarak, erişim yetkilerini kısıtlayarak ve izleme sistemleri kurarak sistem güvenliğini artırmak mümkündür. White Hat Hacker olarak bu tür önlemleri dikkate almak, hem bireysel hem de kurumsal düzeyde güvenlik risklerini azaltmaya yardımcı olacaktır.