HASP lisans yönetim sisteminde çok sayıda açık keşfedildi

 

Kaspersky Lab ICS CERT araştırmacıları, lisanslı yazılımları etkinleştirmek için kurumlarda ve endüstriyel kontrol sistemlerinde sıkça kullanılan Hardware Against Software Piracy (HASP) lisans yönetim sisteminde çok sayıda ciddi açık buldu. Açıktan etkilenen sistem sayısı tüm dünyada yüz binlere ve hatta daha fazlasına ulaşabilir.

USB lisans doğrulama cihazları, yazılım lisanslarını kolaylıkla etkinleştirmek için birçok farklı kurumda sıkça kullanılıyor. Normal kullanım senaryosunda, bir şirketin sistem yöneticisinin etkinleştirilmesi gereken yazılımın bulunduğu bilgisayara cihazı takması gerekiyor. Cihaz, yasal olduğunu (korsan olmadığı) onayladıktan sonra yazılımı etkinleştiriyor. Böylece o bilgisayarı veya sunucuyu kullanan kişi yazılımı da kullanabiliyor.

Lisans doğrulama cihazı bir bilgisayara veya sunucuya ilk kez takıldığında, Windows işletim sistemi yazılım markasının sunucularından sürücüyü indirerek, cihaz donanımının bilgisayar donanımıyla uyumlu çalışmasını sağlıyor. Diğer durumlarda ise sürücü, lisans koruması için bu sistemi kullanan üçüncü taraf yazılımıyla birlikte kuruluyor. Uzmanlar, bu yazılımın, kurulum sonrasında bilgisayardaki 1947 portunu kullanıcıya gerekli bilgi vermeden Windows Güvenlik Duvarı‘nın dışında bıraktığını ve böylece uzaktan bir saldırıya açık hale getirdiğini keşfetti. Saldırganlar bu sayede uzaktan erişebilecekleri bilgisayarları, hedef aldıkları ağdaki açık 1947 portunu tarayarak belirleyebiliyorlar.

Daha da önemlisi, doğrulama cihazı çıkarıldıktan sonra da port açık kalmaya devam ediyor. Saldırganlar, güncellemeleri yapılmış ve koruma altındaki bir kurumsal ortamı bile yalnızca HASP çözümünü kullanıp, bir yazılım yükleyerek veya bir bilgisayara (kilitli olsa bile) doğrulama cihazı takarak saldırılara açık hale getirebiliyorlar.

Araştırmacılar, yazılım çözümünün bir bileşeninde 14 adet açık belirledi. Bunların arasında kullanıcı haklarıyla değil otomatik olarak en yetkili sistem haklarıyla kullanılabilen birden çok DoS açığı ve çok sayıda RCE (istenilen kodların uzaktan çalıştırılması) yer alıyor. Böylece saldırganlar istedikleri kodları çalıştırma fırsatı elde ediyorlar. Çok tehlikeli olan bu açıkların tümü kurumlar için büyük zararlara neden olma potansiyeline sahip.

Elde edilen tüm bilgiler yazılım markasına iletildi. Saptanan tüm açıklar şu CVE numaralarını aldı:

• CVE-2017-11496 – Remote Code Execution
• CVE-2017-11497 – Remote Code Execution
• CVE-2017-11498 – Denial of Service
• CVE-2017-12818 – Denial of Service
• CVE-2017-12819 – NTLM hash capturing
• CVE-2017-12820 – Denial of Service
• CVE-2017-12821 – Remote Code Execution
• CVE-2017- 12822 – Remote manipulations with configuration