Kritik Sunshine Oyun Sunucusu Güvenlik Açıkları 

CVE-2025-53095 - Sunshine CSRF Açığı

Sunshine, Moonlight için kendi kendine barındırılan bir oyun akış sunucusudur. 2025.628.4510 sürümünden önce, Sunshine’ın web arayüzü Çapraz Site İstek Sahteciliği (CSRF) saldırılarına karşı koruma sağlamamaktadır. Bu güvenlik açığı, saldırganın kötü amaçlı bir web sayfası hazırlayarak, bu sayfayı ziyaret eden ve Sunshine’a giriş yapmış kullanıcı adına istenmeyen işlemler gerçekleştirmesine olanak verir.

Özellikle, Sunshine tasarım gereği işletim sistemi komutlarını çalıştırma özelliğine sahiptir. Bu nedenle saldırgan, “Komut Hazırlıkları” özelliğini kötüye kullanarak, kullanıcı bir uygulamayı başlattığında yönetici (Administrator) yetkileriyle çalıştırılacak rastgele komutlar enjekte edebilir.

• Bu açıklık, sistem üzerinde tam yetkiyle komut çalıştırılmasına izin verdiği için kritik (9.6) bir güvenlik açığıdır.
• Açık, 30 Haziran 2025 tarihinde yayımlanmış ve 2025.628.4510 sürümüyle yamalanmıştır.

Örnek Saldırı Senaryosu

1. Saldırgan, Sunshine web arayüzündeki “Komut Hazırlıkları” özelliğini hedef alan gizli CSRF istekleri içeren kötü amaçlı bir web sayfası oluşturur.
2. Sunshine’a giriş yapmış bir kullanıcı bu kötü amaçlı sayfayı ziyaret eder.
3. Sayfa, kullanıcının bilgisi dışında Sunshine’a komut enjekte eden istekler gönderir.
4. Bu komutlar, yönetici yetkileriyle çalıştırılarak sistem ele geçirilir veya zarar verilir.

CVE-2025-53096 - Sunshine Clickjacking Açığı

Sunshine’ın web arayüzü, 2025.628.4510 sürümünden önce Clickjacking saldırılarına karşı korumasızdır. Bu açıklık, saldırganın Sunshine arayüzünü görünmez veya gizlenmiş bir iframe içinde kötü amaçlı bir web sayfasına gömmesine olanak tanır. Kullanıcı, Sunshine’a giriş yapmışken bu kötü amaçlı sayfada bir veya birkaç kez tıklarsa, farkında olmadan Sunshine üzerinde istenmeyen işlemler gerçekleştirebilir.

• Bu açıklık 30 Haziran 2025’te yayımlanmış ve 2025.628.4510 sürümüyle düzeltilmiştir.

Örnek Saldırı Senaryosu

1. Saldırgan, Sunshine arayüzünü görünmez bir iframe olarak içeren kötü amaçlı bir web sitesi oluşturur.
2. Sunshine’a giriş yapmış kullanıcı bu siteyi ziyaret eder.
3. Kullanıcı, farkında olmadan iframe içindeki Sunshine arayüzüne tıklar.
4. Bu tıklamalar, Sunshine üzerinde yetkisiz işlemlerin yapılmasına neden olur.

Öneriler ve Önlemler

• Sunshine’ı derhal 2025.628.4510 veya daha yeni sürüme güncelleyin.
• Web arayüzünde CSRF koruması (örneğin anti-CSRF tokenleri) uygulayın.
• Clickjacking saldırılarına karşı koruma için HTTP başlıkları (X-Frame-Options veya Content-Security-Policy) kullanın.
• Komut çalıştırma arayüzlerini sıkı şekilde sınırlandırın ve doğrulayın.
• Sunshine web arayüzüne erişimi sadece güvenilen kullanıcılar ve ağlarla sınırlandırın.
• Sistem erişim kayıtlarını izleyerek olağan dışı etkinlikleri tespit edin.

Bu açıklamalar, Sunshine kullanıcılarının sistemlerini bu kritik güvenlik açıklarından korumalarına yardımcı olacaktır. Başka bir konuda da yardımcı olmamı isterseniz, lütfen belirtin!