CVE-2024-38106: Microsoft Windows Kernel Privilege Escalation Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Microsoft Windows platformunda, CVE-2024-38106 olarak bilinen bir kernel (çekirdek) zafiyeti tespit edilmiştir. Bu zafiyet, sistemin çekirdek yapısında bulunan bir hata nedeniyle yerel bir saldırganın sistem yetkilerini artırmasına olanak tanımaktadır. Özellikle, bu zafiyetin kötüye kullanılması, saldırganın SYSTEM (sistem) seviyesinde ayrıcalıklar elde etmesine yol açmaktadır. Problemin temel nedeni, bir yarış koşulunun (race condition) gerçekleştirilmesidir. Yani, belirli bir işlem ile diğer bir işlemin birbirini beklemeden çalışması sonucu, sistemin beklenmedik bir davranış sergilemesine olanak tanımaktadır.

Zafiyetin tarihçesine baktığımızda, Microsoft'un birçok versiyonunda, özellikle Windows 10 ve 11'de etkili olduğunu görmekteyiz. Bu, işletim sisteminin başlıca çekirdek bileşenlerini hedef almaktadır ve dolayısıyla birçok uygulamanın çalışmasını doğrudan etkileyebilir. Örneğin, işletim sisteminde kullanılan kütüphaneler arasında Windows kernel, bu tür zafiyetlerin sıkça bulunduğu bir bölge olarak karşımıza çıkmaktadır. Kernel düzeyinde bulunan bir hata, kullanıcı alanındaki uygulama güvenliğini ihlal edebilir ve saldırganların işlem önceliklerini değiştirerek sistem üzerinde tam kontrol sağlamalarına yol açabilir.

Bu zafiyetin dünya genelindeki etkilerine baktığımızda, özellikle bilgi teknolojileri (IT) sektöründe, finansal hizmetler ve kamu sektöründe geniş çaplı bir etkisinin olabileceğini söyleyebiliriz. Etkilenmiş sistemlerin birçoğu, kritik verilerin saklandığı veya yönetildiği altyapılardır. Saldırganlar, bu tür sistemlere erişim sağladıklarında, sadece veriler üzerinde kontrol sağlamakla kalmayıp, aynı zamanda sistemin işleyişini de manipüle edebilir. Bu kapsamda, bir APT (Advanced Persistent Threat - Gelişmiş Sürekçi Tehdit) grubunun bu zafiyeti hedef alarak, uzun vadeli istihbarat toplama faaliyetlerine girişmesi muhtemeldir.

Gerçek dünyadaki bir senaryo düşünelim. Bir finans kuruluşunun sistemlerine yönelik bir saldırı gerçekleştirildiğinde, saldırgan bu zafiyet üzerinden sistemin kernel seviyesine inerek, veri bütünlüğünü hedef alabilir. Bu tür bir saldırı, hem kurumsal itibarı zedeleyebilir hem de yüksek maddi kayıplara yol açabilir. Dolayısıyla, bu zafiyetin hızlı bir şekilde yamalanması ve güvenlik güncellemelerinin uygulanması kritik bir önem arz etmektedir.

Microsoft, düzenli olarak güvenlik güncellemeleri yayınlamakta ve bu tür zafiyetleri ele almak için gerekli adımları atmaktadır. Ancak, sistem yöneticilerine de büyük görevler düşmektedir. Kurumların, mevcut yamanın var olup olmadığını kontrol etmeleri, güvenlik politikalarını gözden geçirmeleri ve özellikle kernel seviyesindeki kullanıcı erişimlerini kontrol altında tutmaları gerekmektedir.

Zafiyetin etkilerini en aza indirmek adına, sürekli bir güvenlik bilinci oluşturulması ve çalışanların bu konuda eğitilmesi de son derecede önemlidir. Kullanıcı eğitimleri, bu tür zafiyetlere karşı ilk savunma hattını oluşturabilir. Sonuç olarak, CVE-2024-38106 gibi bir zafiyet, dikkatle izlenmeli ve gerekli önlemler alınmalıdır.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Windows Kernel‘deki CVE-2024-38106 zafiyeti, kötü niyetli bir saldırganın yerel sistemde SYSTEM (sistem) yetkilerini kazanmasına olanak sağlayan bir açığı içeriyor. Bu açığın sömürü süreci, belirli bir yarış koşulunda (race condition) başarı sağlandığında gerçekleşiyor. Aşağıda, bu zafiyetin teknik sömürüsüne dair adım adım bir kılavuz ve örnekle birlikte inceleyeceğiz.

Öncelikle, bu tür bir zafiyeti sömürmek için gereken ön koşulları incelememiz gerekiyor. Saldırgan, hedef sistemde yetkilendirilmiş erişime sahip olmalıdır. Genellikle bu tür zafiyetler, kullanıcı seviyesinde bir uygulama üzerinden başlatılarak exploit edilecektir. Saldırı süreci, aşağıdaki temel adımlar doğrultusunda gerçekleştirilecektir:

Gerekli Ortamın Hazırlanması: Hedef sistemde yerel yönetici yetkilerine sahip bir hesap ile kaydolun. Bu hesap üzerinden, sistemdeki mevcut durumu ve işlem süreçlerini incelemek için gerekli diagnostic araçları (örneğin; Process Explorer) kullanılabilir.
Hedef Sürecin İncelenmesi: Sömürü aşamasında hangi işlemlerin etkileneceğini anlamak için hedef süreçlerin hangi durumlarda yarış koşuluna gireceğini tespit etmemiz gerekiyor. Bunun için önemli bir adım, hedef sürecin davranışlarını gözlemlemektir. Örneğin, Windows hizmetleri ve sürücülerinin sistemde nasıl çalıştığını incelemek gerekir.
Racer Şartlarının Oluşturulması: Yarış koşulunu tetiklemek için, saldırganın belirli bir süre zarfında iki veya daha fazla işlemi aynı anda başlatması gerekmektedir. Bu işlemlerden biri, sistemdeki zafiyeti kullanarak yetki yükseltmesini tetiklerken, diğeri bu durumdan faydalanacaktır. Yeterli zamanlamayla uygun koşullar oluşturulmalıdır.
Exploit‘in Geliştirilmesi: Aşağıda, basit bir Python exploit taslağına örnek verilmektedir. Bu taslak, uygun koşulların yaratılması için kullanılabilir:

import os
import threading
import time

# Yarış koşulu yaratma fonksiyonu
def race_condition():
    # Zafiyeti tetiklemek için gerekli işlemleri başlat
    os.system("cmd.exe /c start notepad.exe")
    print("[*] Notepad işlem başlatıldı.")

# Parallely thread start with timing
if __name__ == "__main__":
    for _ in range(2):  # İki işlem başlatıyoruz
        t = threading.Thread(target=race_condition)
        t.start()
        time.sleep(0.5)  # Zamanlama ayarı

Başarı Durumunun Kontrolü: Sömürme başarılı olduğunda, saldırganın sistemde SYSTEM yetkileri kazanıp kazanmadığını kontrol etmesi gerekmektedir. Bunun için, bir sistem komutunu çalıştırarak kullanıcı seviyesini kontrol edebiliriz:

import os

# SYSTEM yetkisini kontrol etme
os.system("whoami /priv")

Bu adımlar tamamlandığında, zafiyetin sömürülmesi başarıyla gerçekleştirilmiş olacaktır. Ancak burada dikkat edilmesi gereken en önemli husus, etik hacking (etik saldırı testi) çerçevesinde kalmak ve yalnızca izinli sistemlerde bu tür testler gerçekleştirmektir.

Zafiyetin etkilerinin en aza indirilmesi için, sistem yöneticilerinin bu tür açıkları düzenli olarak güncellemeleri ve sistemlerini koruma altına almaları önem arz etmektedir. Bu tür zarar verici faaliyetlerin önüne geçmek amacıyla, kullanımda olan sistemlere karşı sürekli izleme ve güvenlik denetimleri uygulanmalıdır.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Windows Kernel'ında bulunan CVE-2024-38106 zafiyeti, yerel bir saldırganın SYSTEM (sistem) ayrıcalıkları kazanmasına olanak tanırken, bu zafiyetin başarılı bir şekilde istismar edilmesi için bir yarış durumu (race condition) kazanılması gerekmektedir. Bu tür bir zafiyetin tespiti için adli bilişim ve log analizi, siber güvenlik uzmanları için kritik bir önem taşır. Bu yazıda, siber güvenlik uzmanlarının bu tür bir saldırıyı tespit edebilmesi için SIEM (Security Information and Event Management - Güvenlik Bilgisi ve Olay Yönetimi) çözümlerini nasıl kullanabileceğine ve log dosyalarında hangi izlere (signature) dikkat etmesi gerektiğine değineceğiz.

Gerçek dünya senaryolarında, bir saldırgan önce sistem üzerinde yetkisiz kod çalıştırabilmek için çeşitli zafiyetlerden faydalanmaya çalışabilir. Örneğin, bir uzaktan kod çalıştırma (Remote Code Execution - RCE) zafiyetini istismar ettikten sonra, CVE-2024-38106 gibi bir yerel ayrıcalık arttırma (Privilege Escalation) zafiyetine yönelir. Bu noktada, saldırganın hedefi, düşük ayrıcalıklara sahip bir kullanıcı hesabıyla sistemin çekirdek seviyesine erişim sağlamaktır.

Siber güvenlik uzmanları, bu tür zafiyetlerin istismar edilip edilmediğini anlamak için öncelikle log dosyalarını analiz etmelidir. Özellikle Access log (Erişim logu) ve error log (Hata logu) gibi kritik log veri setleri üzerinde yoğunlaşmalıyız. Aşağıda bu süreçte dikkat edilmesi gereken bazı iframe (imza) türlerini inceleyeceğiz:

Kullanıcı Hesap Etkinlikleri: Log kayıtlarını incelerken, sistem üzerinde beklenmeyen kullanıcı aktiviteleri arayın. Özellikle geçirilen süre ve hangi işlemlerin gerçekleştirildiği büyük önem taşır. Örneğin, anormal bir zaman diliminde (gece yarısı gibi) gerçekleşen işlem talepleri, olağan dışı davranışların belirtisi olabilir.

   2024-03-10 02:27:34 - User: attacker - Action: SYSTEM_PRIVILEGE_ESCALATION

Adım Adım Hatalar (Error Codes): Saldırgan, CVE-2024-38106 zafiyetini istismar etmeye çalışırken, hata kodları ve sistem hataları da loglara yansıyabilir. Bu bağlamda, işlemden kaynaklı hataların detayları incelenmelidir.

   2024-03-10 02:27:35 - ERROR: Privilege escalation attempt failed. Error code: 0xC0000005

Anomaliler ve Anormal Davranışlar: Belirli bir zaman dilimi içinde beklenmedik bir şekilde artan kimlik doğrulama talepleri veya sistemde olağan dışı değişiklikler, bir saldırganın sistemin çekirdek iznini ele geçirme çabası olabilir.
Sistem Olayları: Yüksek ayrıcalıklı işlemlere yönelik takip, bu tür zafiyetlerin tespitinde faydalıdır. Belirli sistem çağrılarının sıklığı, genellikle saldırı algılama mekanizmalarının (IDS/IPS) anormal şekilde davrandığını gösterir.
Yüksek Seviye Yetkiler için Talep: Log dosyalarında, düşük yetkili kullanıcıların yüksek yetkili işlemleri gerçekleştirmeye çalıştığını tespit etmek, önemli bir belirti olabilir. Bu durum, saldırı girişiminin bir hissesi olarak görülebilir.

2024-03-10 02:27:36 - USER: attacker - REQUEST: Gain SYSTEM Level Access

Bir siber güvenlik uzmanı, log analizinde bu tür imzalara dikkat ederek, CVE-2024-38106 zafiyetinin istismar edilip edilmediğini anlama şansına sahip olacaktır. Bu bağlamda, etkili bir log yönetimi ve inceleme, potansiyel saldırıları önceden tespit etmek ve önlem almak için hayati öneme sahiptir. Ayrıca, olası bir saldırıda sistemin hızlı bir şekilde güvenli hale getirilmesi için gerekli adımların atılabilmesi açısından da kritik rol oynamaktadır. Unutulmamalıdır ki, sürekli güncellemeler yapmak ve zafiyetlerin izini sürmek siber güvenlik alanında başarının anahtarıdır.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Windows Kernel Privilege Escalation (Ayet Kod: CVE-2024-38106) zafiyeti, yerel bir saldırganın SYSTEM ayrıcalıklarını kazanmasına olanak tanıyan kritik bir güvenlik açığı olarak sözü edilen Microsoft Windows işletim sistemi çekirdeğinde bulunmaktadır. Bu tür bir zafiyet, özellikle bir saldırganın sistemdeki kontrolünü artırarak daha fazla zarara yol açabileceği anlamına gelir. Dolayısıyla, bu açığın etkin bir şekilde kapatılması ve sistemin sıkılaştırılması, güvenlik ekiplerinin öncelikli hedefleri arasında yer almaktadır.

Zafiyetin temelinde yatan neden, bir "race condition" (yarış durumu) sorunudur. Bu, iki veya daha fazla süreç arasında beklenmedik bir davranışa yol açan koşullardır. Örneğin, bir saldırganın sistemdeki işlem sıralarını manipüle ederek belirli kaynaklara erişim sağlaması mümkündür. Gerçek dünya senaryolarında, bir saldırgan bu zafiyeti kullanarak, standart kullanıcı haklarıyla girdiği bir sistemde, SYSTEM düzeyine yükselerek, kritik verilere ulaşabilir.

Bu tür zafiyetlerden korunmak için bir dizi sıkılaştırma (hardening) uygulaması mevcuttur:

Düzenli Güncellemeler: Microsoft’un sunduğu güvenlik güncellemeleri, sistemin kritik noktalarını korumak için düzenli olarak kontrol edilmeli ve uygulanmalıdır. Bu güncellemeleri yapılandırmak, sistemin güncel kalmasını ve yeni açılara karşı korunmasını sağlar.
Erişim Kontrolleri: Windows işletim sistemlerinde gereksiz kullanıcı hesapları ve izinleri minimize edilmelidir. Active Directory üzerinden, sadece gerekli kullanıcı gruplarına uygun erişim hakları atamak, potansiyel bir zafiyetin istismar edilmesini önleyecektir.
Güvenlik Duvarı ve Uygulama Güvenlik Duvarı (WAF): Alternatif WAF kuralları belirleyerek, trafiği sadece belirli IP'lere ve portlara sınırlandırılabilir. Örneğin, gelen ve giden trafiği izlemeye almak için aşağıdaki kurallar uygulanabilir:

   iptables -A INPUT -s &lt;trusted_IP&gt; -p tcp --dport 80 -j ACCEPT
   iptables -A INPUT -p tcp --dport 80 -j DROP

Uygulama İzleme ve Zararlı Yazılım Taraması: Sistemdeki tüm uygulamaların ve kullanıcı etkinliklerinin sürekli izlenmesi önemlidir. Güvenilir bir ağ izleme (network monitoring) aracı kullanarak anormal aktiviteleri belirlemek, hızlı bir müdahale için elzemdir.
Gelişmiş Zararlı Yazılım Taraması: Zararlı yazılımları tespit etmek için, son kullanıcı cihazlarında son nokta güvenlik çözümleri kullanılmalıdır. Bunun yanı sıra, belirtilecek tanımlar ve kurallar ile kötü niyetli yazılımlara karşı koruma sağlanmalıdır.

Sonuç olarak, CVE-2024-38106 zafiyetinin etkilerini azaltmanın en etkili yolu sistemin sıkılaştırılması ve sürekli güncel tutulmasıdır. Güvenlik açıkları, zamanında müdahale edilmediği sürece kritik sonuçlara yol açabilir. Bu nedenle teknik ekiplerin, önerilen stratejileri göz önünde bulundurarak sistemleri üzerinde periyodik güvenlik taramaları yapmaları ve güncel tehdit istihbaratına göre önlemler alması gerekmektedir.