Luka zero-day wykryta w Windows 7 oraz Windows Server 2008 R2

Windows 7

Francuski ekspert ds. zabezpieczeń podczas prac nad narzędziem zabezpieczającym dla systemów Windows, odkrył luki zero-day w niewspieranych już systemów Windows 7 i Windows Server 2008 R2. Podczas gdy większość analityków bezpieczeństwa zgłasza poważne problemy producentom oprogramowania w sposób dyskretny, od razu po ich wykryciu, Clément Labro przez przypadek je upublicznił.

Błędnie skonfigurowane klucze rejestru systemowego

Luka odnaleziona przez Labro tkwi w dwóch błędnie skonfigurowanych kluczach rejestru usług RPC Endpoint Mapper i DNSCache, które są częścią wszystkich instalacji w obrębie systemu Windows:

HKLM\SYSTEM\CurrentControlSet\Services\RpcEptMapper
HKLM\SYSTEM\CurrentControlSet\Services\Dnscache

Francuz podaje, iż osoba atakująca, która uzyskała już dostęp do jednego z wymienionych wyżej systemów, może zmodyfikować powyższe klucze rejestru, aby aktywować podklucz używany zwykle przez mechanizm monitorowania wydajności systemu Windows. Podklucze “wydajnościowe” są zwykle używane do monitorowania wydajności aplikacji, a ze względu na ich rolę umożliwiają programistom ładowanie własnych plików DLL, w celu śledzenia wydajności przy użyciu niestandardowych narzędzi.

O ile w najnowszych wersjach systemu Windows wymienione wyżej biblioteki DLL są zwykle ograniczone i ładowane z ograniczonymi uprawnieniami, Labro twierdzi, że w systemach Windows 7 i Windows Server 2008 nadal można było załadować niestandardowe biblioteki DLL, które działały z uprawnieniami na poziomie systemowym.

Luki upublicznione przypadkiem

Labro oświadczył, że odkrył omawiane tu luki już po tym, jak opublikował aktualizację programu PrivescCheck, pozwalającego na sprawdzania typowych błędnych konfiguracji zabezpieczeń systemu Windows, które mogą być wykorzystywane przez złośliwe oprogramowanie do eskalacji uprawnień. Wydana w zeszłym miesiącu poprawka dodała obsługę nowego zestawu narzędzi, pozwalających wykrywać techniki eskalacji uprawnień. Francuz zakomunikował, iż nie wiedział, że owe narzędzia wskażą na nową i niezałataną do tej pory metodę eskalacji uprawnień, dopóki nie zaczął badać serii alertów pojawiających się w starszych systemach Windows, takich jak Windows 7, już kilka dni po udostępnieniu.

Nieoficjalna łatka jest dostępna

Windows 7 i Windows Server 2008 R2 nie są już wspierane, osiągnęły status EOL, a firma Microsoft przestała udostępniać dla nich bezpłatne aktualizacje zabezpieczeń. Poprawka rozwiązująca powyższy problem dla użytkowników płatnego programu wsparcia ESU (Extended Support Updates) nie została jeszcze wydana.

Nieoficjalną łatkę przygotowała firma ACROS Security. Można pobrać ją w tym miejscu.

Źródło: Clément Labro via Instalki

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *