Microsoft’un Windows Update Health Tools (KB4023057) bileşeninde, uzak kod çalıştırmaya (RCE) imkan tanıyan kritik bir güvenlik açığı tespit edildi. Zafiyet, aracın 1.0 sürümünde bulunuyor ve saldırganların Microsoft’un kullanmadığı Azure Blob Storage hesaplarını ele geçirip cihazlarda komut çalıştırmasına olanak tanıyordu. Microsoft, sorunu gideren 1.1 sürümünü yayımladı.
Update Health Tools Nedir?
Microsoft’un Update Health Tools paketi:
- Windows Update’in düzgün çalışmasını sağlamak
- İş bilgisayarlarında Windows Update for Business güncellemelerini yönetmek
- Intune ve Microsoft Graph üzerinden güvenlik güncellemelerini hızlandırmak
amacıyla yayımlanan KB4023057 güncellemesiyle cihazlara yükleniyor.
Microsoft’a göre bu araç, Windows Update’e bağlı herhangi bir cihazda otomatik olarak yükleniyor. Eksikse Microsoft Download Center üzerinden indirilebiliyor.
Zafiyet Nasıl Ortaya Çıktı?
Eye Security araştırmacıları, 20 Kasım 2025 tarihli raporlarında Update Health Tools 1.0 sürümünün uzak kod yürütmeye izin veren bir açık barındırdığını duyurdu.
Sorunun Kaynağı: Boşta Bırakılmış Azure Blob Hesapları
Araştırmacılar:
- Araç tarafından kullanılan Azure Blob Storage hesaplarının tahmin edilebilir şekilde adlandırıldığını (payloadprod0…payloadprod15)
- Microsoft’un bu hesaplardan 10 tanesini hiç kaydetmediğini
- Bu boş hesapları bir saldırganın kolayca ele geçirebileceğini
ortaya çıkardı.
Araştırmacılar boş blob hesaplarını kaydettikten sonra:
- 7 gün içinde 544.000’den fazla HTTP isteği,
- Dünya genelinde yaklaşık 10.000 Azure tenant’ından geldiğini belirledi.
Bu da savunmasız sistemlerin ne kadar yaygın olduğunu gösteriyor.
Saldırı Nasıl Gerçekleşiyor?
C:\Program Files\Microsoft Update Health Tools içindeki uhssvc.exe hizmeti, konfigürasyon dosyalarını bu blob hesaplarından çekiyor.
Araştırmacılar, saldırganların:
- Kötü amaçlı JSON dosyaları oluşturup
- explorer.exe gibi güvenilir Microsoft imzalı uygulamalara referans vererek
- Aracın ExecuteTool fonksiyonunu tetikleyebileceğini
belirledi. Bu yöntemle uzaktan kod çalıştırmak mümkün hale geliyor.
Microsoft’un Çözümü
Microsoft, sorunu Update Health Tools 1.1 sürümüyle giderdi. Yeni sürüm:
- Tüm blob isteklerini devicelistenerprod.microsoft.com üzerinden yönlendiriyor
- Tahmin edilebilir depolama hesaplarının kullanımını bırakıyor
Ancak araştırmacılar, eski sürümleri kullanan cihazlarda hala geriye dönük uyumluluk nedeniyle risk olabileceğini söylüyor.
Zafiyetin Bildirilme Süreci
- 7 Temmuz 2025: Eye Security, Microsoft’a açığı raporladı
- 17 Temmuz 2025: Microsoft doğruladı ve düzeltme çalışmalarına başladı
