CVE-2023-6345: Google Skia Integer Overflow Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Google Skia'da bulunan CVE-2023-6345 numaralı integer overflow (tamsayı taşması) zafiyeti, siber güvenlik alanında önemli bir tehdit oluşturuyor. Bu zafiyet, Google Chromium Skia kütüphanesinde ortaya çıkmış olup, tamsayı taşması nedeniyle etkin bir şekilde uzaktan kod çalıştırma (RCE - Remote Code Execution) imkanı sunuyor. Zafiyet, özellikle render sürecini ele geçiren bir saldırganın, kötü niyetli bir dosya ile sandbox'ı (sanal alan) atlama potansiyeli taşımaktadır. Bu durum, Google Chrome, ChromeOS, Android ve Flutter gibi birçok ürünün güvenliğini tehdit ediyor.

Tarihçe açısından bakıldığında, Google Skia kütüphanesi, zengin grafik ve kullanıcı arayüzü deneyimleri sunan modern web tarayıcılarının ve uygulamalarının temel taşlarından biridir. Ancak, her teknolojide olduğu gibi, potansiyel zafiyetler zamanla ortaya çıkmıştır. CVE-2023-6345'in her biri önem taşıyan ve sıklıkla güncellenen yamanın arka planında, Microsoft, Mozilla gibi büyük teknoloji firmaları tarafından geliştirilen güvenlik protokolleri ve kod denetleme yöntemleri yer alıyor.

Zafiyetin içine yerleştiği kütüphane, Skia'nın grafikleri işlemek için kullandığı çeşitli algoritmaların oluşturulmasında kullanılan tamsayı işlemleridir. Özellikle, görüntü işleme süreçlerinde kullanılan bazı tamsayı hesaplamalarında yapılan hatalar, bu tür taşmaların meydana gelmesine sebep olmaktadır. Bu tür hatalar, programın beklenmeyen bir şekilde yanıt vermesine veya daha da kötüsü, önceden belirlenmiş kullanıcı haklarıyla sınırlı olan bir saldırganın sistem üzerinde kontrol sağlamasına neden olabilir.

Dünya genelinde, CVE-2023-6345 zafiyetinin etkilediği sektörler arasında teknoloji, eğitim, finans ve sağlık hizmetleri bulunmaktadır. Teknoloji şirketleri, genellikle güncellemelerini hızlı bir şekilde sağlamalarına rağmen, bu tür açıkların kullanıcıların kişisel bilgileri ve ulusal güvenlik açısından risk oluşturduğunu unutmamak gerekir. Özellikle eğitim ve sağlık sektöründe, veri gizliliğinin korunması en üst düzeyde önem taşımaktadır; bu nedenle, bu tür zafiyetler, ciddi sonuçlar doğurabilir.

Bir örnek senaryosuna bakacak olursak, bir okul yönetimi yazılımında, kullanıcıların dosya yükleyebileceği bir alan varsa, kötü niyetli bir kullanıcı bu alanı kullanarak tamsayı taşmasına neden olacak bir yükleme gerçekleştirebilir. Bu sayede, uzaktan sunucuya zararlı yazılım yükleyerek sadece verileri çalmakla kalmaz, aynı zamanda sistem üzerinde tam kontrol sağlayabilir.

# Kötü niyetli dosya yükleme örneği
POST /upload HTTP/1.1
Host: vulnerable.school.edu
Content-Length: <malicious_payload_length>

<malicious payload>

Bu tür senaryolar, zafiyetin ciddi sonuçlar doğurabileceğini ortaya koymaktadır. Kurumların, bu tür zafiyetlere karşı düzenli olarak güvenlik yamaları uygulamaları ve sistemlerini güncel tutmaları son derece önemlidir. Tüm sistem yöneticileri ve geliştiriciler, bu tür güvenlik açıklarının etkilerini anlamalı ve proaktif güvenlik tedbirleri almalıdır. Böylece, siber güvenlik tehditleriyle başa çıkmak daha etkili hale gelecektir.

Teknik Sömürü (Exploitation) ve PoC

Google Skia üzerinde bulunan CVE-2023-6345 açığı, kötü niyetli bir saldırganın uzaktan hedef alabileceği önemli bir sıcak noktadır. Bu zafiyet, rakip sürecini ele geçirip, bir sandbox kaçışı (sandbox escape) gerçekleştirmek için kullanılabilecek bir tam sayı taşması (integer overflow) üzerinde çalışıyor. Bu açık, Google Chrome ve ChromeOS, Android, Flutter gibi çeşitli platformları etkileyerek, kötü niyetli yazılımların sisteme sızmasına olanak tanıyabilir.

Zafiyetin sömürülemesi için ilk önce hedef sistemdeki güvenlik duvarlarının ve diğer koruma mekanizmalarının bypass edilmesi gerekmektedir. Bu adım, genellikle özel bir dosya veya veri girişi ile sağlanır. Aşağıda bu süreci adım adım inceleyeceğiz.

İlk olarak, saldırganın, hedef sistemde çalışmakta olan bir Google Chrome veya Chrome tabanlı uygulamayı bulması gerekmektedir. Genellikle, bu tarayıcının güncellenmemiş bir sürümünü kullanmak avantaj sağlar. Bu süreç sırasında, tarayıcı üzerinde hangi bileşenlerin çalıştığı ve kimlerin etkilenebileceği göz önünde bulundurulmalıdır.

İlk adım, hedefle etkileşim kurabileceğiniz kötü niyetli bir dosya ya da veri oluşturmaktır. Örneğin, bir SVG (Scalable Vector Graphics) dosyası oluşturulabilir. Bu dosyanın içeriğinde integer overflow oluşturacak özel bir yük bulundurması gerekmektedir. Aşağıdaki örnek, bir SVG dosyası için rengin taşmasına neden olabilecek basit bir şablondur:

&lt;svg width="100" height="100"&gt;
  &lt;rect width="100" height="100" style="fill:rgb(255,255,255);stroke-width:2;stroke:rgb(0,0,0)" /&gt;
  &lt;script&gt;
    // Burada integer overflow'a neden olabilecek basit bir hesaplama gerçekleştiriyoruz
    let x = 0xFFFFFFFF;
    let y = x + 1; // Bu işlem integer overflow yaratır
    document.write(y);
  &lt;/script&gt;
&lt;/svg&gt;

Bu dosyanın açılması, integer overflow oluşumuyla birlikte tarayıcının kontrolünün kötü niyetli bir kodun eline geçmesine yol açabilir. Bu durumda, bir kullanıcı bu dosyayı açtığında, kötü amaçlı sayfaya yönlendirilip, potansiyel bir RCE (Remote Code Execution) durumu ortaya çıkabilir.

Zafiyetin kullanılabilirliğini doğrulamak için aşağıdaki HTTP isteği örneğini inceleyelim. Bu örnek, bir hedef tarayıcıya SVG dosyasının yüklenmesini içerir:

GET /vulnerability_example.svg HTTP/1.1
Host: hedefsite.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.212 Safari/537.36

Eğer hedef sistem, açığı kullanarak kötü niyetli dosyayı yüklerse, bir exploitation işlemi tetiklenmiş olacaktır. Zafiyetin doğrulanması adına, bu oluşturulan dosyanın arka planda zararlı kodlar çalıştırmasına neden olup olmadığını gözlemlemek önemlidir.

Son olarak, bu tür bir zafiyetin önüne geçmek için yazılım güncellemelerinin düzenli olarak kontrol edilmesi, güçlü bir güvenlik politikası uygulanması ve kullanıcıların yalnızca güvenilir kaynaklardan dosya yüklemeleri için eğitilmesi büyük önem taşımaktadır. White Hat Hacker perspektifi ile, bu tür zafiyetleri araştıran profesyonellerin, oluşturdukları PoC'leri (Proof of Concept) kullanarak güvenlik açıklarını test etmeleri ve sistem yöneticilere bu tür durumlara karşı önlemler almalarını önermeleri kritik bir görevdir.

Forensics (Adli Bilişim) ve Log Analizi

Google Skia üzerindeki CVE-2023-6345 zafiyeti, bir saldırganın geçersiz integer değerleri kullanarak sistem üzerinde ciddi etkilere neden olabileceği bir güvenlik açığıdır. Bu tür zafiyetlerin tespit edilmesi ve izlenmesi, siber güvenlik alanında çalışan profesyonellerin kritik bir görevidir. Bu yazıda, forensics (adli bilişim) ve log analizi aşamasında bu zafiyetin nasıl tespit edileceği üzerine detaylı bir inceleme yapacağız.

Zafiyetin özellikleri arasında integer overflow (tam sayı taşması) bulunuyor. Bu tür bir zafiyet, saldırgana sistem ayarlarını ve kullanıcı verilerini manipüle etme yetkisi verebilir. Özellikle mürekkep noktası (renderer) işleminin ele geçirilmesi sayesinde, saldırganı bir sandbox escape (sandık dışına çıkma) gerçekleştirme ihtimali artar. Bu durum, uzaktan bir kod yürütme (RCE - Remote Code Execution) saldırısına kapı aralar.

Siber güvenlik uzmanları, bu tür bir saldırının tespitinde öncelikle ağızdan alınan veriler, erişim logları (access logs) ve hata logları (error logs) gibi log dosyalarına odaklanmalıdır. Herhangi bir şüpheli aktivite veya hata mesajı aramak vaciptir. Özellikle şu noktalar üzerinde durulmalıdır:

Erişim Logları Analizi: Erişim logları üzerinde çok fazla dikkatlice bakılması gereken yerler, anomaliler ve olağandışı erişim talepleridir. Alışılmadık IP adreslerinden gelen veya kullanıcıların alışık olmadıkları saatlerde yapılan bağlantılar tehlike işareti olarak kabul edilebilir. Aşağıdaki örnek kod parçası, şüpheli IP’leri tespit etmek için kullanılabilecek bir Python skriti ile verilmiştir.
```
import pandas as pd

# Erişim loglarını okuyalım
logs = pd.read_csv("access_logs.csv")

# Şüpheli IP'leri tespit et
suspect_ips = logs['ip_address'].value_counts().loc[lambda x: x &gt; 100].index.tolist()

print("Şüpheli IP'ler:", suspect_ips)
```
Hata Logları Analizi: Hata loglarındaki belirli hata mesajlarının analizi, bu tür zafiyetlerin anlaşılmasında kritik rol oynar. Örneğin, integer overflow hataları çıkıyorsa, bu durum daha dikkatli bir inceleme gerektirir. CWE-190 ile ilgili hatalar genellikle dikkatlice izlenmelidir.
Zafiyet İzleme: Log dosyalarında, özellikle Skia ve Chromium ile ilgili yapılan güncellemeler sonrası yapılan tüm işlemler, zafiyet ile ilgili bilgileri içerebilir. Bu kayıtları incelemek, anormal ve beklenmeyen davranışları ortaya çıkarmaya yardımcı olabilir.
Sistem Davranışı Analizi: Saldırıdan sonra sistemin davranış değişimlerine dikkat edilmelidir. Normalden farklı olan uygulama cevapları, kaynak kullanımı veya diğer yanlışlıklar bu tür bir saldırının belirtisi olabilir.
Koruyucu İşlemler: RCE ve diğer güvenlik açıklarını engellemek için, sistemleri güncel tutmak, güvenlik yamalarını uygulamak ve performans izleme araçları kullanmak büyük önem taşır. Ayrıca, SIEM (Security Information and Event Management) çözümleri kullanarak yüksek düzeyde otomatikleşmiş log analizi yapmak da oldukça faydalıdır.

Sonuç olarak, bir güvenlik uzmanı olarak, bu tür zafiyetlere karşı bilinçli olmak ve sistemlerinizi sürekli izlemek, olası saldırılara karşı en etkili savunmayı sağlayacaktır. Sistem logları üzerinde dikkatle yapılan analiz ve doğru imza tespitleri, istenmeyen durumların önüne geçmek için hayati öneme sahiptir.

Savunma ve Sıkılaştırma (Hardening)

Google Skia'da bulunan CVE-2023-6345 zafiyeti, uzaktan bir saldırganın kötü niyetli bir dosya aracılığıyla render sürecini ele geçirip sandbox (kum sandbox'ı) kaçışına (sandbox escape) yol açabilecek bir integer overflow (tamsayı taşması) açığıdır. Bu tür zafiyetler, günümüzün birçok yazılım uygulamasında ciddi tehditler oluşturabilmektedir. İnternete bağlı sistemlerin ve uygulamaların, bu tarz güvenlik açıklarına karşı korunması hayati önem taşır.

Bu bağlamda, CyberFlow platformu kullanarak, bu tür açıkları kapatmak ve sistem yapılandırmasını sıkılaştırmak için izlenebilecek bir dizi strateji mevcuttur. Öncelikle, güncellemelerin düzenli olarak yapılması önemlidir. Yazılımların en son sürümleri, genellikle güvenlik açıklarını kapatan yamaları içerir. Bu nedenle, Google Chrome ve diğer Chromium tabanlı tarayıcıların güncellenmesi, bu tür zafiyetlerden korunmak için öncelikli bir adımdır.

Bunun yanı sıra, Web Application Firewall (WAF) kuralları kullanarak güvenliği artırmak mümkündür. WAF, web uygulamalarını kötü niyetli trafiğe karşı korumak için tasarlanmış bir güvenlik katmanıdır. Örneğin, aşağıdaki WAF kuralları uygulanabilir:

SecRule REQUEST_HEADERS:User-Agent ".*(Chrome|Chromium).*" \
    "id:100001,phase:1,deny,status:403,msg:'Chrome Browser detected - potential exploitation'"
SecRule ARGS ".*(?i)(&lt;script&gt;|alert|onload).*" \
    "id:100002,phase:2,deny,status:403,msg:'Potential XSS attack detected'"
SecRule REQUEST_METHOD "POST" \
    "id:100003,phase:1,deny,status:403,msg:'POST requests blocked for suspicious IPs'"

Bu kurallar, Chrome veya Chromium tabanlı istemcilerden gelen potansiyel tehditleri tespit ederek engellemeye çalışır. Özellikle XSS (Cross-Site Scripting) ve diğer güvenlik açıklarına karşı bu tür kurallar dinamik bir savunma mekanizması oluşturabilir.

Ayrıca, sistemde kalıcı sıkılaştırma (hardening) önerileri de dikkate alınmalıdır. Kullanılmayan hizmetlerin devre dışı bırakılması, varsayılan şifrelerin değiştirilmesi ve yeterli erişim kontrol listelerinin (ACL) uygulanması, genel güvenlik duruşunu artırır. Ayrıca, özellikle tarayıcı eklentileri için sıkı kontrol politikaları oluşturulmalıdır. Kullanıcıların yalnızca ihtiyaç duydukları eklentileri yüklemeleri teşvik edilmelidir.

Bir diğer dikkat edilmesi gereken nokta, günlükleme (logging) ve izleme sistemlerinin etkin bir şekilde kullanılmasıdır. Güvenlik olaylarını izlemek, potansiyel tehditlerin hızlı bir şekilde tespit edilmesine yardımcı olur. Günlük dosyalarının analizi, olası ihlalleri belirleme ve hızlı müdahale için kritik bir süreçtir.

Sonuç olarak, CVE-2023-6345 gibi zafiyetler, günümüzde siber güvenlik alanında yaşanan tehditlerin yalnızca bir örneğidir. Hem yazılım güncellemeleri hem de etkili sıkılaştırma ve WAF kuralları, bu tür açıların etkisiz hale getirilmesi için kritik öneme sahiptir. Bir "White Hat Hacker" olarak, sistemlerinizi sürekli olarak gözden geçirip güncel tutmanız, potansiyel tehditlerle başa çıkmanın en etkili yollarından biridir. Unutulmamalıdır ki, güvenlik asla sonlanmaz; sürekli bir süreçtir.