LibreWolf for Windows Yerel Ayrıcalık Yükseltme Güvenlik Açığı

Genel Bakış

**CVE-2025-11940**, Windows işletim sistemi üzerinde çalışan LibreWolf tarayıcısının (sürüm 143.0.4-1 ve öncesi) kurulum aşamasında bulunan bir güvenlik açığıdır. Açık, kurulum programının (`setup.nsi`) "kontrolsüz arama yolu" (Uncontrolled Search Path) veya "DLL preloading" olarak da bilinen zafiyet kategorisine girmektedir. Bu, yerel bir saldırganın, özel olarak hazırlanmış bir dosyayı belirli bir konuma yerleştirerek kurulum sürecini manipüle etmesine ve ardından kötü amaçlı kod yürütmesine olanak tanır.

*   CVSS 3.x/4.0 Skoru: 7.3 (YÜKSEK)

*   Etkilenen Sürümler: LibreWolf for Windows sürüm 143.0.4-1 ve önceki sürümler.

*   Etkilenmeyen Sürüm: LibreWolf for Windows sürüm 144.0-1 ve sonrası.

*   Zafiyet Türü: KONTROLSÜZ ARAMA YOLU (CWE-427)

*   Gerekli Erişim: Yerel (Local)

*   Karmaşıklık: Yüksek

Zafiyetin Teknik Analizi

Zafiyet, LibreWolf'ün Windows için geliştirilen NSIS (Nullsoft Scriptable Install System) tabanlı kurulum programında (`assets/setup.nsi` dosyası) yer almaktadır.

Nasıl Çalışıyor?

1.  **Kurulum Süreci:** Bir kullanıcı LibreWolf'ü kurmak için `LibreWolf_Installer.exe` (veya benzeri) dosyasını çalıştırdığında, kurulum programı çeşitli işlemler gerçekleştirir (dosyaları açma, geçici dizinlere yazma, kayıt defteri girdileri oluşturma vb.).

2.  **DLL Arama Sırası:** Windows, bir uygulama (bu durumda kurulum programı) bir Dinamik Bağlantı Kitaplığı'na (DLL) ihtiyaç duyduğunda, bu dosyayı bulmak için belirli bir sırayı takip eder. Genellikle bu sıra:

      1. Uygulamanın çalıştığı dizin.
      2. Sistem dizinleri (`C:\Windows\System32`).
      3. Windows dizini.
      4. `PATH` ortam değişkeninde listelenen dizinler.

3.  **Zafiyetin Ortaya Çıkışı:** Etkilenen LibreWolf kurulum programı, güvenli olmayan bir şekilde DLL'leri yükler. Yüklediği bir veya daha fazla sistem DLL'sini (örneğin, `version.dll`, `propsys.dll` gibi) ararken, öncelikle uygulamanın çalıştığı geçerli dizine bakar.

4.  **Saldırı Vektörü:** Bir saldırgan, kurulumun başlatıldığı dizine (örneğin, kullanıcının İndirilenler klasörü) kötü amaçlı bir DLL yerleştirebilir ve bu dosyayı kurulum programının aradığı bir sistem DLL'si ile aynı isimle (örneğin, `version.dll`) adlandırabilir.

5.  **Kötü Amaçlı Kod Yürütme:** Kurulum programı çalıştırıldığında, sistem DLL'si yerine saldırganın kötü amaçlı DLL'sini yükler ve bu da saldırganın kodunu, kurulumu başlatan kullanıcının ayrıcalıklarıyla (genellikle kullanıcının kendi izinleriyle) çalıştırmasına neden olur.

Neden Bu Kadar Riskli?

**Ayrıcalık Yükseltme:** Saldırgan, kurulumu başlatan kullanıcının bağlamında kod çalıştırabilir. Eğer kullanıcı yönetici ayrıcalıklarına sahipse, saldırının etkisi çok daha fazla olabilir.

**Gizlilik:** Kurulum işlemi kullanıcı tarafından başlatılan meşru bir işlem olduğu için şüphe çekmez.

Örnek Senaryolar

Senaryo 1: İndirilenler Klasöründe Tetiklenen Saldırı

1.  Saldırgan, bir e-posta eki olarak veya bir web sitesinden, kötü amaçlı bir `version.dll` dosyasını kurbana gönderir.

2.  Kurban, bu dosyayı farkında olmadan bilgisayarına indirir ve genellikle `C:\Users\[KullanıcıAdı]\Downloads` (İndirilenler) klasörüne kaydeder.

3.  Daha sonra kurban, aynı İndirilenler klasöründeki `LibreWolf_Installer.exe` dosyasını çift tıklayarak kurulumu başlatır.

4.  Kurulum programı çalıştığında, `version.dll` aramak için önce kendi çalıştığı dizine (yani İndirilenler klasörüne) bakar.

5.  Saldırganın kötü amaçlı `version.dll`'ini bulur ve onu yükler.

6.  Kötü amaçlı DLL'nin kodu, kurbanın kullanıcı hesabının izinleriyle çalıştırılır. Bu kod, başka bir zararlı yazılımı indirip yükleyebilir, kişisel verileri çalabilir veya sisteme kalıcı erişim sağlayabilir.

Senaryo 2: Ağ Paylaşımı Üzerinden Saldırı

1.  Bir şirket ortamında, yazılım kurulumları için kullanılan paylaşımlı bir ağ sürücüsü (`\\SERVER\InstallerApps\`) bulunur.

2.  Bir saldırgan, iç ağa sızarak veya kötü niyetli bir iç çalışan, bu paylaşıma kötü amaçlı bir `propsys.dll` dosyası yerleştirir.

3.  Bir kullanıcı, bu ağ paylaşımından LibreWolf kurulum programını (`LibreWolf_Installer.exe`) çalıştırır.

4.  Kurulum programı, kötü amaçlı `propsys.dll`'i yükler ve saldırganın kodu, o kullanıcının ağ kimlik bilgileri ve izinleri dahil olmak üzere kurumsal ağda çalıştırılır. Bu, iç ağda yatay hareket (lateral movement) için bir başlangıç noktası oluşturabilir.

Çözüm ve Azaltıcı Önlemler

1.  **Güncelleme:** En etkili çözüm, LibreWolf'ü **sürüm 144.0-1** veya daha yenisine güncellemektir. Geliştiriciler, `dd10e31dd873e9cb309fad8aed921d45bf905a55` hash'ine sahip yama ile kurulum script'ini (`setup.nsi`) düzelterek bu zafiyeti ortadan kaldırmışlardır.

2.  **Güvenli Kurulum Yöntemleri:**

    *   Yazılım yükleyicilerini her zaman resmi web sitelerinden (librewolf.net) indirin.

    *   İndirilen yükleyiciyi, mümkün olduğunca temiz ve yazma izni kısıtlı bir dizinde (örneğin, doğrudan masaüstünde değil) çalıştırın.

    *   Şüpheli konumlardaki (İndirilenler klasörü gibi karmaşık dosya yapılarına sahip yerler) yükleyicileri çalıştırmadan önce dosya imzalarını kontrol edin.

3.  **Sistem Geneli Önlemler:**

    *   Kullanıcı hesaplarını, günlük işlemler için yönetici ayrıcalıkları olmadan kullanın. Bu, bir saldırının etkisini büyük ölçüde sınırlandıracaktır.

    *   Güncel bir antivirüs veya sonraki nesil güvenlik yazılımı kullanın.

Sonuç

CVE-2025-11940, göründüğü kadar basit bir "yerel" zafiyet olsa da, doğru koşullar altında ciddi sonuçlar doğurabilecek bir ayrıcalık yükseltme açığıdır. Özellikle güvenlik odaklı bir tarayıcı olan LibreWolf'ün kendi kurulum mekanizmasında böyle bir zafiyetin bulunması dikkat çekicidir. Kullanıcıların, yazılım güncellemelerini düzenli olarak takip etmeleri ve güvenli kurulum alışkanlıkları edinmeleri, bu tür saldırılardan korunmanın temel anahtarıdır.