Microsoft Ağustos 2025 Patch Tuesday: Zero-Day Kerberos Açığı Domain Yöneticilerini Tehdit Ediyor

Microsoft’un Ağustos 2025 Patch Tuesday güncellemesi 119 güvenlik açığı için düzeltme sunuyor. Bu açıkların 13’ü Kritik, 91’i Önemli seviyede değerlendiriliyor. Güncelleme Windows’un temel bileşenleri, Microsoft Office, Azure, Hyper-V ve Exchange Server’daki zafiyetleri gideriyor. En dikkat çekici nokta ise kamuoyuna açıklanmış bir zero-day Kerberos açığının varlığı.

Bu ayın düzeltmeleri birden fazla kategoriyi kapsıyor: Kimlik Sahteciliği (Spoofing), Hizmet Reddi (DoS), Yetki Yükseltme, Bilgi İfşası ve Uzaktan Kod Çalıştırma (RCE). Etkilenen bileşenler:

• Microsoft Exchange Server
• Windows Hyper-V
• Microsoft Graphics Component
• Windows NTFS & NTLM
• Remote Desktop Server
• SQL Server

Microsoft ayrıca Edge (Chromium tabanlı) tarayıcısında 10 açığı toplu güncelleme kapsamında düzeltti.

CVE-2025-53779: Kerberos Zero-Day – Domain Takeover Riski

Açığın Kritikliği

Bu ayın tek zero-day açığı olan CVE-2025-53779, Windows Kerberos authentication protokolünde bulunan elevation of privilege zafiyeti. Microsoft uyarıyor: “Bu açığı başarıyla istismar eden saldırgan domain administrator yetkilerini elde edebilir.” Kerberos’un Active Directory ortamlarındaki merkezi rolü düşünüldüğünde, bu açık kurumsal ağlar için kritik tehdit oluşturuyor.

Teknik Detaylar ve Sömürü Mekanizması

Açık, Kerberos ticket işleme süreçlerinde path validation hatası nedeniyle ortaya çıkıyor. Saldırganlar bu zafiyeti şu şekilde istismar edebilir:

1. Düşük yetkili kullanıcı hesabıyla sisteme giriş
2. Kerberos TGS (Ticket Granting Service) isteklerinde path manipulation
3. Domain controller authentication bypass
4. Privilege escalation ile domain admin yetkilerine yükselme
5. Tüm domain infrastrukturunun kontrolü

Saldırı Senaryoları

Senaryo 1: Internal Threat

• Insider threat veya compromised kullanıcı hesabı
• Kerberos açığı ile domain admin escalation
• Sensitive data exfiltration
• Ransomware deployment

Senaryo 2: Lateral Movement

• Initial access sonrası privilege escalation
• Domain controller compromise
• Enterprise-wide persistence
• Advanced Persistent Threat (APT) operations

Etkilenen Sistemler ve Sürümler

• Windows 11: Tüm sürümler (21H2, 22H2, 23H2, 24H2)
• Windows 10: Tüm desteklenen sürümler (1809, 1909, 2004, 20H2, 21H2, 22H2)
• Windows Server 2022: Tüm build’ler
• Windows Server 2019: Tüm build’ler
• Windows Server 2016: Tüm build’ler
• Azure Stack Hub: Etkilenen versiyonlar

Tespit Yöntemleri

Event Log Monitoring:

# Şüpheli Kerberos aktivitesi tarama
Get-WinEvent -FilterHashtable @{
    LogName='Security'
    ID=4768,4769,4771,4776
    StartTime=(Get-Date).AddDays(-1)
} | Where-Object {
    $_.Message -like "*unusual*" -or 
    $_.Message -like "*elevation*"
}

İzlenmesi gereken Event ID’ler:

• 4768: Kerberos TGT requested
• 4769: Kerberos service ticket requested
• 4771: Kerberos pre-authentication failed
• 4776: Domain controller attempted credential validation

Network Traffic Analysis:

# Wireshark filter for Kerberos anomalies
kerberos && (tcp.port == 88 || udp.port == 88)

PowerShell Detection Script:

# Kerberos anomaly detection
$Events = Get-WinEvent -LogName Security -FilterXPath "*[System[EventID=4768 or EventID=4769]]"
$Threshold = 100  # Adjust based on environment

foreach ($Event in $Events) {
    if ($Event.Count -gt $Threshold) {
        Write-Warning "Potential Kerberos exploitation detected"
        $Event | Format-List
    }
}

Geçici Çözüm (Workaround)

Güncelleme uygulanana kadar:

# Kerberos encryption types restriction
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters" /v SupportedEncryptionTypes /t REG_DWORD /d 24

# Enhanced Kerberos logging
auditpol /set /subcategory:"Kerberos Authentication Service" /success:enable /failure:enable
auditpol /set /subcategory:"Kerberos Service Ticket Operations" /success:enable /failure:enable

Kalıcı Çözüm – KB Güncellemeleri

• Windows 11 24H2: KB5063878 (Build 26100.1457)
• Windows 11 23H2: KB5063875 (Build 22635.4010)
• Windows 10 22H2: KB5063877 (Build 19045.4894)
• Windows 10 21H2: KB5063876 (Build 19044.4894)
• Server 2022: KB5063879 (Build 20348.2655)
• Server 2019: KB5063880 (Build 17763.6189)
• Server 2016: KB5063881 (Build 14393.7259)

CVE-2025-53781: Azure Virtual Machines Information Disclosure

Açığın Yapısı

Azure VM’lerde information disclosure açığı. Saldırganlar hassas VM metadata’sını, configuration bilgilerini ve potansiyel olarak customer data’sını elde edebilir.

Sömürü Yöntemi

1. Azure VM instance'a erişim sağlanır
2. Metadata service endpoints'lerine crafted requests
3. Access control bypass
4. Sensitive information extraction (keys, configs, data)

Etkilenen Azure Services

• Azure Virtual Machines (Windows & Linux)
• Azure Virtual Machine Scale Sets
• Azure Container Instances
• Azure Kubernetes Service nodes

Tespit ve Kontrol

# Azure VM metadata access monitoring
curl -H "Metadata: true" "http://169.254.169.254/metadata/instance?api-version=2021-02-01"

# PowerShell ile Azure VM durumu
Get-AzVM -Status | Where-Object {$_.PowerState -eq "VM running"}

CVE-2025-50176: DirectX Graphics Kernel RCE

Zafiyetin Detayı

DirectX Graphics Kernel’de type confusion vulnerability. Saldırganlar admin yetkisi gerektirmeden arbitrary code execution gerçekleştirebilir. Bu açık özellikle gaming sistemleri ve graphics-intensive uygulamalar için kritik risk oluşturuyor.

Teknik Sömürü Süreci

1. Malicious DirectX content (shader, texture, model) hazırlanır
2. Graphics API calls ile type confusion trigger edilir
3. Kernel memory corruption gerçekleşir
4. Arbitrary kernel code injection
5. SYSTEM privileges escalation
6. Kernel-level persistence mechanisms

Attack Vectors

• Web-based attacks: WebGL üzerinden malicious content
• Gaming platforms: Steam, Epic Games launcher exploits
• Media files: Video/image processing sırasında exploitation
• Email attachments: Graphics content içeren dosyalar

Etkilenen DirectX Versiyonları

• DirectX 12 (Windows 10/11)
• DirectX 11 (Windows 7-11)
• DirectX 9 (Legacy support)

Tespit Yöntemleri

# DirectX crash dump analysis
Get-ChildItem "$env:LOCALAPPDATA\CrashDumps" | Where-Object {$_.Name -like "*DirectX*"}

# Graphics driver version check
Get-WmiObject Win32_VideoController | Select-Object Name, DriverVersion, DriverDate

Geçici Çözüm

# DirectX hardware acceleration disable
reg add "HKLM\SOFTWARE\Microsoft\DirectX" /v DisableAGP /t REG_DWORD /d 1
reg add "HKLM\SOFTWARE\Microsoft\DirectX" /v DisableVDD /t REG_DWORD /d 1

# Graphics driver rollback if needed
pnputil /enum-drivers | findstr "Graphics"

CVE-2025-50177: Microsoft Message Queuing RCE

Açığın Karakteristiği

Microsoft Message Queuing (MSMQ) servisinde use-after-free vulnerability. Saldırganların race condition kazanması durumunda uzaktan kod çalıştırma imkanı sağlıyor.

Sömürü Gereksinimerleri

1. MSMQ service aktif olmalı
2. Network üzerinden MSMQ port'larına erişim (1801, 2101, 2103, 2105)
3. Race condition timing attack başarılı olmalı
4. Memory layout prediction doğru olmalı

Race Condition Exploitation

Thread 1: Message queue operation trigger
Thread 2: Memory deallocation
Thread 3: Reallocated memory with malicious content
Timing: Critical window < 10ms

Etkilenen MSMQ Versiyonları

• Windows Server 2019 MSMQ
• Windows Server 2016 MSMQ
• Windows 10/11 MSMQ Client

Tespit ve Monitoring

# MSMQ service status check
Get-Service MSMQ* | Select-Object Name, Status, StartType

# MSMQ queue monitoring
Get-MsmqQueue | Select-Object QueueName, MessageCount, FormatName

# MSMQ network connections
netstat -an | findstr ":1801\|:2101\|:2103\|:2105"

Workaround

# MSMQ service disable (if not critical)
sc config MSMQ start= disabled
sc stop MSMQ

# MSMQ network restrictions
netsh advfirewall firewall add rule name="Block MSMQ" dir=in action=block protocol=TCP localport=1801,2101,2103,2105

CVE-2025-53731 & CVE-2025-53740: Microsoft Office RCE

Çoklu Office RCE Zafiyetleri

Microsoft Office Suite’te iki kritik use-after-free açığı. Özel hazırlanmış dosyalar aracılığıyla authentication olmadan uzaktan kod çalıştırma imkanı sağlıyor.

Saldırı Vektörleri

Email-based attacks:

1. Phishing email with malicious .docx/.xlsx attachment
2. User opens file (no macro warning)
3. Use-after-free triggered during document parsing
4. Heap spray with shellcode
5. ROP chain execution
6. System compromise

Web-based attacks:

• Office Online exploitation
• SharePoint document libraries
• Teams file sharing
• OneDrive shared documents

Etkilenen Office Versiyonları

• Microsoft 365 Apps: Current Channel, Semi-Annual Enterprise Channel
• Office 2021: Volume License, Retail
• Office 2019: Volume License, Retail
• Office LTSC 2021: Enterprise deployments

Technical Exploitation Details

// Simplified exploitation flow
1. Document parsing triggers object allocation
2. Callback function deallocates object
3. Subsequent operation references freed memory
4. Controlled heap spray overwrites freed chunk
5. Function pointer hijacking
6. Shellcode execution

Advanced Detection

# Office crash dump analysis
$CrashDumps = Get-ChildItem "$env:LOCALAPPDATA\Microsoft\Office\16.0\OfficeFileCache"
foreach ($dump in $CrashDumps) {
    if ($dump.LastWriteTime -gt (Get-Date).AddHours(-24)) {
        Write-Host "Recent Office crash detected: $($dump.Name)"
    }
}

# Suspicious Office process monitoring
Get-Process | Where-Object {
    $_.ProcessName -match "winword|excel|powerpnt" -and
    $_.WorkingSet -gt 500MB
}

Comprehensive Mitigation

# Office Protected View enforcement
reg add "HKCU\Software\Microsoft\Office\16.0\Word\Security\ProtectedView" /v DisableAttachmentsInPV /t REG_DWORD /d 0
reg add "HKCU\Software\Microsoft\Office\16.0\Excel\Security\ProtectedView" /v DisableAttachmentsInPV /t REG_DWORD /d 0

# Disable external content
reg add "HKCU\Software\Microsoft\Office\16.0\Word\Options" /v DontPromptForConvert /t REG_DWORD /d 1
reg add "HKCU\Software\Microsoft\Office\16.0\Word\Security" /v BlockContentExecutionFromInternet /t REG_DWORD /d 1

CVE-2025-53733 & CVE-2025-53784: Microsoft Word RCE

Word-Specific Exploitation

Bu iki açık özellikle Microsoft Word’de document parsing sırasında ortaya çıkıyor. Kötü niyetli Word belgesi açılması yeterli saldırı için.

Document-based Attack Chain

1. Malicious .docx file creation with embedded exploit
2. Social engineering (email, download, USB)
3. User opens document (auto-execution, no user interaction)
4. Word parser vulnerability triggered
5. Memory corruption in Word.exe process
6. Shellcode execution with user privileges
7. Privilege escalation attempts
8. Persistence mechanisms deployment

File Format Exploitation Vectors

• DOCX files: ZIP-based format manipulation
• RTF files: Rich Text Format parsing errors
• DOC files: Legacy binary format bugs
• Template files: DOTX/DOT file exploitation

CVE-2025-53766: Windows GDI+ RCE

GDI+ Heap Overflow Detayları

Windows Graphics Device Interface Plus (GDI+) kütüphanesinde heap-based buffer overflow. Graphics dosyalarının işlenmesi sırasında uzaktan kod çalıştırma imkanı sağlıyor.

Sömürü Mekanizması

1. Malicious image file (PNG, JPEG, GIF, BMP) crafting
2. Image dimensions/color depth manipulation  
3. GDI+ parser buffer overflow trigger
4. Heap corruption with controlled data
5. Return address overwrite
6. Shellcode execution

Attack Scenarios

• Web browsers: Malicious images on websites
• Email clients: Image attachments
• File explorers: Thumbnail generation
• Applications: Any app using GDI+ for image processing

Tespit ve Koruma

# GDI+ version check
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\GDIPlus" -Name Version

# Image processing monitoring
Get-Process | Where-Object {$_.Modules -like "*gdiplus*"}

CVE-2025-53778: Windows NTLM Privilege Escalation

NTLM Authentication Bypass Detayları

Windows NTLM authentication mechanism’ında improper validation hatası. Saldırganlar local authentication bypass ile SYSTEM seviyesi yetkiler elde edebilir.

Teknik Sömürü Yöntemi

1. Local user account ile sistem erişimi
2. NTLM authentication process interception
3. Challenge-response manipulation
4. Authentication token forgery
5. SYSTEM service impersonation
6. Full administrative privileges

Advanced Attack Techniques

• NTLM Relay attacks ile kombine kullanım
• SMB signing bypass teknikleri
• Kerberos downgrade attacks
• Pass-the-Hash saldırıları

Network-based Exploitation

# NTLM traffic capture and analysis
tcpdump -i eth0 -s 0 -w ntlm_capture.pcap 'port 445 or port 139'

# SMB enumeration for NTLM
enum4linux -a target_ip
smbclient -L //target_ip -N

Comprehensive Detection

# NTLM authentication monitoring
Get-WinEvent -LogName Security | Where-Object {
    $_.Id -eq 4624 -and 
    $_.Message -like "*NTLM*" -and
    $_.Message -like "*Logon Type: 3*"
}

# Suspicious NTLM activity patterns
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625,4624}
$Events | Where-Object {$_.Message -match "NTLM.*failure|NTLM.*success"} | 
Group-Object {$_.TimeCreated.Hour} | 
Where-Object {$_.Count -gt 50}

Azure ve Hyper-V Kritik Açıkları

CVE-2025-49707: Azure VM Spoofing

Azure Virtual Machines’de improper access control nedeniyle local spoofing vulnerability. Saldırganlar VM identity’sini manipüle edebilir.

CVE-2025-48807: Windows Hyper-V RCE

Hyper-V hypervisor’ında communication channel restriction bypass. VM’ler arası unauthorized communication ve host escape riski.

CVE-2025-53793: Azure Stack Hub Information Disclosure

Azure Stack Hub’da unauthenticated network-based information leak. Sensitive infrastructure bilgileri açığa çıkabilir.

Sistem Güncelleme Kontrolü ve Verification

Güncelleme Durumu Kontrolü

# Tüm KB güncellemelerini kontrol et
$CriticalKBs = @("KB5063878", "KB5063875", "KB5063877", "KB5063876", "KB5063879", "KB5063880", "KB5063881")
$InstalledUpdates = Get-HotFix

foreach ($KB in $CriticalKBs) {
    if ($InstalledUpdates.HotFixID -contains $KB) {
        Write-Host "✓ $KB yüklendi" -ForegroundColor Green
    } else {
        Write-Host "✗ $KB eksik - KRİTİK GÜNCELLEME" -ForegroundColor Red
    }
}

# Build numarası kontrolü
$OSInfo = Get-WmiObject -Class Win32_OperatingSystem
Write-Host "Current OS Build: $($OSInfo.BuildNumber)"

Windows Update Forced Installation

# Manual update installation
dism /online /add-package /packagepath:C:\Updates\KB5063878.msu
wusa.exe C:\Updates\KB5063878.msu /quiet /norestart

# PowerShell ile otomatik güncelleme
Install-Module PSWindowsUpdate -Force
Get-WUInstall -AcceptAll -AutoReboot

About the Author

can altan

Administrator

View All Posts