Mavi Ekran, Bir Yapılandırma Dosyasından Çıktı
CrowdStrike’ın 19 Temmuz 2024’te tüm kiracılara aynı anda gönderdiği tek bir içerik dosyası, sınırları doğrulamayan bir ayrıştırıcı hatasıyla 8,5 milyon Windows makinesini çökertti; kanıt zinciri, imzalı kodun test edilmiş kod demek olmadığını gösterdi.
Olayın anatomisi
19 Temmuz 2024’te, UTC 04:09’da yayımlanan bir Rapid Response Content güncellemesi, Windows sensörünün çekirdek seviyesinde çalışan ayrıştırıcısına yeni bir şablon örneği yükledi.
Channel File 291 olarak numaralanan dosya bir yazılım değil, yapılandırma verisiydi. İçindeki sınırdışırı okuma, sensörü geç başlatma aşamasında düşürdü ve makine tekrarlayan mavi ekran döngüsüne girdi.
Microsoft’un toplamı 8,5 milyon cihaz: kurulu Windows makinelerinin kabaca yüzde biri. Ne var ki o yüzde bir, hava yolu, hastane ve acil çağrı hattı tarafındaydı.
Kanıt zinciri
CrowdStrike’ın Ağustos 2024’te yayımladığı teknik kök neden analizi suçu iki katmana ayırdı: içeriği üreten şablon derleyicisi ve içeriği yükleyen doğrulayıcı. İkincisi, dört baytlık bir sınır ihlalini yakalamadı.
Şirket iki güvenlik açığını kayıt altına aldı: içerik doğrulayıcısındaki aşım ve sensördeki kullanım sonrası serbest bırakma. İkinci açılım, onarımın neden bu kadar zahmetli olduğunu da açıklıyor.
Doğrulayıcı, dosyanın tüm alan dizilerini baştan sona denetlediği varsayımıyla yazılmıştı. Hata kötülükten değil, girdinin biçimine dair kanıtlanmamış bir varsayımdan doğdu.
Neden bu kadar geniş
Kararın büyüklüğü dağıtım mimarisinden gelir: hızlı yanıt içeriği, sensör sürüm paketinden bağımsız ve tek seferde tüm kiracılara gönderildi.
Kademeli yüzükler yalnızca sürüm güncellemeleri için çalışıyordu; içerik bu test katmanlarının dışındaydı. Üç mühendislik gerçeği üst üste bindi:
Olay, yapılandırma yönetimi ile içerik dağıtımı ayrımının kendiliğinden silinmeyeceğini hatırlattı: ikisi de aynı üretim hattından, aynı kademelendirmeden ve aynı geri alma anahtarından geçmek zorunda.
- Doğrulama, üretilen dosyanın kendi üzerinde tam yapılmadı
- Yayın, bütün kiracılara aynı anda giden tek içerik kanalından yapıldı
- Çekirdek sürücüsü olduğu için sensör, makine açılmadan devre dışı bırakılamadı
- BitLocker açık olan makinelerde onarım, disk kilidinin çözülmesini gerektirdi
Fatura: mahkeme ve sigorta
Delta Air Lines, iptal edilen yaklaşık 7.000 uçuş için 500 milyon doları aşan istemle dava açtı; CrowdStrike savunmada hatanın tek başına sorumluluk yaratmadığını öne sürdü.
Siber sigorta tarafında asıl soru, tek bir yazılım olayının yetmiş ülkeye yayılan zararı “sistemik olay” sayılıp sayılmayacağıydı; birçok poliçe çoklu bölge etkisini alt limitler ve bildirim koşullarıyla sınırlıyor.
Piyasanın tepkisi sözleşmeye yazıldı: tedarikçi güncelleme takvimi kanıtı, kademeli yayın taahhüdü ve doğrulama kaydı istenir hale geldi.
Çıkarılan dersler
Windows’un geri getirme programı, çekirdek imzalama disiplini ve bilinen sorun geri alma kanalı olaydan sonra işletim sistemi seviyesinde kapatılan açıklar oldu. Yapısal sorun ise duruyor: bir tedarikçinin doğrulama hattı, müşterinin denetim hattı değildir.
Pratik sonuç tek satırda: içerik, yapılandırma değildir. Üretim verisi gibi versiyonlanmalı, kademeli gönderilmeli ve geri alma anahtarı müşterinin elinde olmalıdır.
Kurumsal denetim tarafında ders başka: tedarikçinin test kaydını kendi risk defterine yazmayan şirket, bedeli onarım saatleri ve duran üretimle öder. Cihazların yüzde biri, çoğu sektörde kesintinin yüzde yüzü demek.
Sık sorulan sorular
Gerçekten tek bir dosya mı yetti?
Evet: imzalı bir içerik dosyası, çekirdekte çalışan ayrıştırıcıya girdi. Dosyanın zararsız görünen bir alanı, sınırdışırı okumayı tetikledi ve önyükleme döngüsü başladı.
Neden sensör kapatılamadı?
Çekirdek sürücüsü, Windows açılırken yüklenir. Arıza açılışta olduğu için uzaktan yama çalışmadı; makine başında BitLocker anahtarıyla onarım gerekti.
Kaç cihaz etkilendi?
Microsoft 8,5 milyon Windows cihazı tahmini verdi; bu, kurulu Windows’un yaklaşık yüzde birine ama kritik sektörlerin önemli bir kesitine denk geliyordu.
Sigorta karşıladı mı?
Kısmen ve tartışmalı biçimde. Poliçelerdeki sistemik olay, alt limit ve bildirim koşulları, çok ülkelere yayılan tek tedarikçi zararlarında teminat tartışması yaratmaya devam ediyor.
Kaynakça
- Channel File 291 olayı kök neden analiziCrowdStrike
- Kök neden analizi yayımlandı duyurusuCrowdStrike Blog
- Hatalı Falcon güncellemesinin ayrıntılarıTechTarget
- 19 Temmuz 2024 kesintisi genel bakışWikipedia
