ncurses (new curses’in kısaltması) programlama kütüphanesinde, tehdit aktörleri tarafından savunmasız Linux ve macOS sistemlerinde kötü amaçlı kod çalıştırmak için kullanılabilecek bir dizi bellek bozulması kusuru keşfedildi.
Microsoft Tehdit İstihbaratı araştırmacıları Jonathan Bar Or, Emanuele Cozzi ve Michael Pearse bugün yayınladıkları teknik raporda “Saldırganlar ortam değişkeni zehirlenmesini kullanarak bu açıkları zincirleyip ayrıcalıkları yükseltebilir ve hedeflenen programın bağlamında kod çalıştırabilir ya da başka kötü niyetli eylemler gerçekleştirebilir” dedi.
Toplu olarak CVE-2023-29491 (CVSS puanı 7.8) olarak takip edilen güvenlik açıkları Nisan 2023 itibariyle giderilmiştir. Microsoft, bu açıklarla ilgili macOS’a özgü sorunların giderilmesi konusunda Apple ile birlikte çalıştığını da belirtti.
Ortam değişkenleri, bir sistemdeki birden fazla program tarafından kullanılabilen ve sistemdeki davranış biçimlerini etkileyebilen kullanıcı tanımlı değerlerdir. Değişkenlerin manipüle edilmesi, uygulamaların başka türlü yetkisiz işlemler gerçekleştirmesine neden olabilir.
Microsoft’un kod denetimi ve bulanıklaştırma çalışmaları, ncurses kütüphanesinin TERMINFO da dahil olmak üzere çeşitli ortam değişkenlerini aradığını ve bu değişkenlerin zehirlenebileceğini ve ayrıcalık yükseltme elde etmek için belirlenen kusurlarla birleştirilebileceğini ortaya çıkarmıştır. Terminfo, programların ekran terminallerini cihazdan bağımsız bir şekilde kullanmasını sağlayan bir veritabanıdır.
Bu açıklar; yığın bilgisi sızıntısı, parametrelendirilmiş dize türü karışıklığı, bire bir hatası, terminfo veritabanı dosyası ayrıştırma sırasında yığın sınırlarının dışına çıkma ve iptal edilen dizelerle hizmet reddini kapsamaktadır.
Araştırmacılar, “Keşfedilen güvenlik açıkları, saldırganlar tarafından ayrıcalıkları yükseltmek ve hedeflenen bir program bağlamında kod çalıştırmak için kullanılabilirdi” dedi. “Bununla birlikte, bellek bozulması açıklarından yararlanarak bir programın kontrolünü ele geçirmek çok aşamalı bir saldırı gerektirir.”
Bir saldırganın ayrıcalıklarını yükseltmesi için güvenlik açıklarının zincirleme olarak bir araya getirilmesi gerekebilir, örneğin keyfi okuma ilkelleri elde etmek için yığın bilgi sızıntısından yararlanmak ve bir yazma ilkeli elde etmek için yığın taşmasından yararlanmak gibi.
