Windows’ta 6 Yıllık Kritik Açık Yeniden Gündemde: “MiniPlasma” Yetki Yükseltme Zafiyeti Yayınlandı
Güvenlik araştırmacılarının paylaştığı bilgilere göre, “Nightmare Eclipse” (diğer adıyla Chaotic Eclipse) isimli güvenlik araştırmacısı, Windows sistemlerini etkileyen eski ancak hala tam olarak giderilmemiş kritik bir güvenlik açığını yeniden gündeme taşıdı. “MiniPlasma” adı verilen zafiyetin, CVE-2020-17103 numaralı eski bir Windows açığının halen çalışabilir durumda olduğunu gösterdiği belirtiliyor.
Araştırmaya göre sorun, Windows’un Cloud Files Mini Filter Driver bileşeninde bulunuyor. Bu bileşen özellikle OneDrive ve benzeri bulut dosya senkronizasyon mekanizmalarında kullanılıyor. Açığın başarılı şekilde istismar edilmesi durumunda saldırganların sistem üzerinde yükseltilmiş yetkiler elde ederek SYSTEM seviyesinde erişim kazanabildiği ifade ediliyor.
Nightmare Eclipse son dönemde Microsoft tarafından yeterince ele alınmadığını düşündüğü güvenlik açıklarını kamuoyuyla paylaşmasıyla dikkat çekiyor. Daha önce “BlueHammer”, “RedSun”, “YellowKey” ve “GreenPlasma” isimli çeşitli kritik güvenlik araştırmalarını da yayınlayan araştırmacı, bu kez yıllar önce kapatıldığı düşünülen bir açığın aslında hala aktif olduğunu öne sürdü.
Araştırmacının açıklamasına göre olayın temeli, daha önce Google Project Zero araştırmacısı James Forshaw tarafından Microsoft’a bildirilen CVE-2020-17103 açığına dayanıyor. Microsoft bu açık için Aralık 2020’de güvenlik güncellemesi yayınlamıştı. Ancak Nightmare Eclipse tarafından yapılan yeni analizlerde, aynı zafiyetin halen sistemlerde bulunabildiği tespit edildi.
Özellikle “GreenPlasma” araştırması sırasında kullanılan “SetPolicyVal” tekniğinin yeniden incelenmesiyle birlikte cldflt!HsmOsBlockPlaceholderAccess fonksiyonunun aynı mantıksal hatayı içermeye devam ettiği belirtildi. Araştırmacı, Microsoft’un açığı hiç tam olarak kapatmamış olabileceğini veya yapılan düzeltmenin ilerleyen süreçte sessiz şekilde geri alınmış olabileceğini düşünüyor.
Paylaşılan teknik detaylara göre, Google’ın yıllar önce hazırladığı PoC (Proof of Concept) kodunun neredeyse hiçbir değişiklik yapılmadan çalıştırılabildiği ifade edildi. Nightmare Eclipse ayrıca bu PoC kodunu SYSTEM shell açabilecek şekilde modifiye ettiğini ve test ettiği sistemlerde başarılı sonuçlar aldığını açıkladı.
En dikkat çekici noktalardan biri ise açığın tamamen güncel sistemlerde de çalışabiliyor olması. Araştırmacı, yayımladığı açıklamada güvenlik açığının fully patched yani tamamen güncel durumda olan Windows 11 ve Windows Server 2025 sistemlerinde test edildiğini belirtti.
Şu an için Microsoft tarafından konu hakkında resmi yeni bir güvenlik duyurusu veya ek düzeltme yayınlanmış değil. Ancak güvenlik topluluğunda, özellikle yetki yükseltme (Privilege Escalation) kategorisindeki bu tarz açıkların fidye yazılımı operatörleri ve ileri seviye tehdit aktörleri tarafından aktif olarak kullanılabileceği yönünde değerlendirmeler yapılıyor.
