Francuski ekspert ds. zabezpieczeń podczas prac nad narzędziem zabezpieczającym dla systemów Windows, odkrył luki zero-day w niewspieranych już systemów Windows 7 i Windows Server 2008 R2. Podczas gdy większość analityków bezpieczeństwa zgłasza poważne problemy producentom oprogramowania w sposób dyskretny, od razu po ich wykryciu, Clément Labro przez przypadek je upublicznił.
Błędnie skonfigurowane klucze rejestru systemowego
Luka odnaleziona przez Labro tkwi w dwóch błędnie skonfigurowanych kluczach rejestru usług RPC Endpoint Mapper i DNSCache, które są częścią wszystkich instalacji w obrębie systemu Windows:
HKLM\SYSTEM\CurrentControlSet\Services\RpcEptMapper
HKLM\SYSTEM\CurrentControlSet\Services\Dnscache
Francuz podaje, iż osoba atakująca, która uzyskała już dostęp do jednego z wymienionych wyżej systemów, może zmodyfikować powyższe klucze rejestru, aby aktywować podklucz używany zwykle przez mechanizm monitorowania wydajności systemu Windows. Podklucze “wydajnościowe” są zwykle używane do monitorowania wydajności aplikacji, a ze względu na ich rolę umożliwiają programistom ładowanie własnych plików DLL, w celu śledzenia wydajności przy użyciu niestandardowych narzędzi.
O ile w najnowszych wersjach systemu Windows wymienione wyżej biblioteki DLL są zwykle ograniczone i ładowane z ograniczonymi uprawnieniami, Labro twierdzi, że w systemach Windows 7 i Windows Server 2008 nadal można było załadować niestandardowe biblioteki DLL, które działały z uprawnieniami na poziomie systemowym.
Luki upublicznione przypadkiem
Labro oświadczył, że odkrył omawiane tu luki już po tym, jak opublikował aktualizację programu PrivescCheck, pozwalającego na sprawdzania typowych błędnych konfiguracji zabezpieczeń systemu Windows, które mogą być wykorzystywane przez złośliwe oprogramowanie do eskalacji uprawnień. Wydana w zeszłym miesiącu poprawka dodała obsługę nowego zestawu narzędzi, pozwalających wykrywać techniki eskalacji uprawnień. Francuz zakomunikował, iż nie wiedział, że owe narzędzia wskażą na nową i niezałataną do tej pory metodę eskalacji uprawnień, dopóki nie zaczął badać serii alertów pojawiających się w starszych systemach Windows, takich jak Windows 7, już kilka dni po udostępnieniu.
Nieoficjalna łatka jest dostępna
Windows 7 i Windows Server 2008 R2 nie są już wspierane, osiągnęły status EOL, a firma Microsoft przestała udostępniać dla nich bezpłatne aktualizacje zabezpieczeń. Poprawka rozwiązująca powyższy problem dla użytkowników płatnego programu wsparcia ESU (Extended Support Updates) nie została jeszcze wydana.
Nieoficjalną łatkę przygotowała firma ACROS Security. Można pobrać ją w tym miejscu.
Źródło: Clément Labro via Instalki