JPG dosyası Windows’ta uzaktan kod çalıştırabilir mi?

1. Açığın Teknik Özeti

2025 yılında Zscaler ThreatLabz tarafından tanımlanan CVE-2025-50165, Microsoft’un WindowsCodecs.dll adlı çekirdek grafik/i̇maj işleme kütüphanesindeki bir kusurdan kaynaklanır. Bu kütüphane; JPG, PNG, GIF ve BMP gibi yaygın resim formatlarını işler ve birçok Windows uygulaması tarafından kullanılır.

• Açığın kaynağı, WindowsCodecs.dll içinde başlatılmamış bir işlev işaretçisinin kullanılmasıdır. Belirli koşullar altında bu işaretçi çağrıldığında sistem belleğinde hatalı referanslara yol açar.

• Özellikle 12-bit ve 16-bit JPEG görüntülerinin kodlama/sıkıştırma aşaması sırasında tetiklenir; standart 8-bit JPEG’ler bu açığı doğrudan tetiklemez.

• Bu durum, özgün olarak görüntüleme veya çözümleme sırasında değil, görüntüyü yeniden kodlama veya küçük resim oluşturmaya çalışırken ortaya çıkar.

2. Olası Etki ve Riskler

Açığın temel etkisi şudur:

• Çökme (Crash): Hatalı işaretçi referansı nedeniyle hedef uygulama veya sistem bileşeni beklenmedik şekilde çöker.

• Teorik Uzaktan Kod Yürütme (RCE): Microsoft ve bazı araştırmacılar, bu hatanın doğru şekilde istismar edilmesi durumunda uzaktan kod yürütme riskini barındırdığını belirtir. Bu, saldırganın kötü amaçlı kod çalıştırmasına yol açabilir.

• Diğer yandan, ESET’in kök neden analizleri, bu hatanın pratikte istismar edilmesinin zor olduğunu ve yalnızca belirli koşulların bir araya gelmesiyle tetiklenebileceğini vurgular.

3. Teknik Ayrıntılar: Nasıl Çalışır?

• Açığın tetiklenme mekanizması, WindowsCodecs.dll içinde çağrılan jpeg_finish_compress gibi sıkıştırma fonksiyonlarındaki bellek yönetimi kusurlarından kaynaklanır.

• libjpeg-turbo adlı açık kaynak JPEG kütüphanesinin eski kodlarının kullanılması (sürümlerindeki kontrollerin eksik olması) bu kusurun varlığını sürdürmesine katkı sağlamıştır.

• Analizler, bu kusurun standart JPEG dosyalarının açılması sırasında değil, yeniden kodlama/sıkıştırma işlemleri yapıldığında ortaya çıktığını göstermiştir. (Cyber Security News)

4. Etki Altındaki Sistemler ve Yama

• WindowsCodecs.dll’nin güvenlik açığı bulunan sürümleri, örneğin 10.0.26100.4768, daha sonra 10.0.26100.4946 gibi yamalı sürümlerle düzeltilmiştir.

• Microsoft, açık için güvenlik güncellemeleri yayımlamış ve kullanıcıların sistemlerini güncellemeleri tavsiye edilmiştir.

5. İstismar Edilebilirlik ve Gerçek Dünya Senaryoları

• CVE-2025-50165, teorik olarak olası konsept kanıtı (PoC) istismarları için bir temel oluşturabilir. Ancak geniş ölçekte kötüye kullanılması, hem doğru koşulların sağlanmasını hem de uygulama düzeyinde belirli etkileşimlerin olmasını gerektirir.

• Standart JPEG görüntülerinin yalnızca açılması tipik olarak bu açığı tetiklemez; çoğu kullanıcı günlük kullanımda risk altında değildir.

6. Önleme ve Tavsiyeler

• Güncelleme: Microsoft’un yayımladığı yamaların uygulanması, en temel ve etkili savunmadır.

• Güvenlik farkındalığı: Şüpheli veya bilinmeyen kaynaklardan gelen özel görüntü dosyalarını açmaktan kaçınmak, genel riskleri azaltmaya yardımcı olur.

• Sistem izleme: Kurumsal ortamda, güvenlik olaylarını izlemek ve anormal süreç davranışlarını tespit etmek için ek savunma katmanları kullanılmalıdır.

7. Sonuç

CVE-2025-50165, Windows’un kritik bir bileşenindeki derin teknik bir güvenlik açığını işaret eder. Microsoft tarafından yamalanmış olsa da, bu tür hatalar, işletim sistemlerinin karmaşık bileşenlerinin denetim ve test süreçlerinin önemini bir kez daha gösterir. Eksiksiz yamaların uygulanması ve risk değerlendirmesi, etkili siber güvenlik uygulamalarının temel unsurlarıdır.

​Kaynak:

antivirus.com.tr makalesi ve ilgili teknik analizler (ESET, Zscaler) (antivirus.com.tr by ESET)