Уязвимост в Windows Update позволява на хакери да даунгрейдват системите до уязвими версии
Нов ден, нов минус в сигурността на Windows – този път в системата за актуализации. Тази последна вест е резултат от проучване, показано на конференцията за сигурност Black Hat, което разкрива минус в архитектурата на Windows Update, който разрешава даунгрейд на сериозни съставни елементи на операционната система посредством манипулиране на процеса на актуализация.
На Black Hat Алон Левиев, откривател от SafeBreach сподели способ за потребление на процеса на актуализация на Windows, който разрешава на нападателите да даунгрейднат равнището на системите до по-ранни версии. Този развой вкарва още веднъж уязвимости, които към този момент са били отстранени в настоящите версии на Windows.
Недостатъкът включва основаването на персонализиран лист с дейности за даунгрейд на равнището, който се прибавя в регистъра на Windows. Този лист не се ползва от Trusted Installer, което подлъгва системата да приема остарели и уязвими систематични файлове.
Чрез преименуване на файловата директория офанзивата заобикаля отбраната, основана на виртуализацията (VBS). Това разрешава надзор върху дейностите по възобновяване, като основаване, заличаване на файлове и смяна на регистъра. По този метод офанзивата наподобява като законна актуализация, което я прави неоткриваема от общоприетите принадлежности за сигурност.
След като предпазеното ядро или хипервайзорът бъдат даунгрейднати, атакуващият може да деактивира VBS, да заобиколи UEFI и да извлече пълномощни, даже против ограничаващи настройки като Credential Guard и Windows Defender.
Атаката улеснява повишението на привилегиите от равнище админ до равнище ядро и по-нататък в хипервайзора, като дава на нападателите достъп до всички изолирани среди и опция да употребяват минали уязвимости в стека за виртуализация.
Изследването не открива съществуващи ограничения за понижаване на равнището на подредба в стека за виртуализация, което прави цялата система уязвима. Този минус акцентира по-широк проблем, който евентуално може да засегне и други операционни системи.
Microsoft призна уязвимостта и работи по намаляване на последствията от нея. Въпреки това, отстраняването на казуса е комплицирано, защото минусът визира голям брой подпрограми. Освен това може да отнеме известно време, защото е належащо подробно тестване, с цел да се избегнат неточности в интеграцията или регресии. Добрата вест е, че Microsoft твърди, че към момента не е следила употреба на тази накърнимост от хакери.
Изследователите също по този начин разкритикуваха метода на Microsoft, който закърпва единствено съответни уязвимости, вместо да преработи стратегиите, с цел да отстрани цели класове офанзиви. Междувременно, в отговор на други проблеми, свързани със сигурността, Microsoft даде обещание да интегрира представянето на сигурността в оценките на чиновниците, с цел да усъвършенства общите ограничения за сигурност.
