Μια ευπάθεια zero-day στα Windows, την οποία η Microsoft δεν κατάφερε να αντιμετωπίσει πλήρως εδώ και αρκετούς μήνες, επιτρέπει σε χρήστες να αποκτήσουν δικαιώματα διαχειριστή στα Windows 10, Windows 11 και Windows Server.
Δείτε επίσης: 2021: Είχαμε ρεκόρ στα Chrome zero-days που εκμεταλλεύτηκαν οι χάκερ
Η τοπικά εκμεταλλευόμενη ευπάθεια στην υπηρεσία προφίλ χρήστη των Windows, πλέον γνωστή ως CVE-2021-34484, έχει λάβει βαθμολογία CVSS v3 7,8. Ωστόσο μέχρι τώρα δεν υπάρχουν ενδείξεις ότι έχει εκμεταλλευτεί από κακόβουλους χρήστες.
Η ιδιαιτερότητα αυτού του zero-day έγκειται στο γεγονός ότι η Microsoft δεν μπόρεσε να αντιμετωπίσει το ελάττωμα από την ανακάλυψή του το περασμένο καλοκαίρι και ότι έχει επισημάνει το σφάλμα ως διορθωμένο δύο φορές.
Σύμφωνα με την ομάδα 0patch, η οποία παρείχε ανεπίσημα επιδιορθώσεις για τις εκδόσεις των Windows που έχουν επηρεαστεί και ορισμένα τρωτά σημεία που η Microsoft δεν θα αντιμετωπίσει, το ελάττωμα εξακολουθεί να υφίσταται. Στην πραγματικότητα, οι ενημερώσεις κώδικα της Microsoft απέτυχαν να διορθώσουν το σφάλμα και έσπασαν την προηγούμενη ανεπίσημη ενημέρωση κώδικα της 0patch.
Το zero-day στο Προφίλ χρήστη των Windows Elevation of Privilege Vulnerability, ανακαλύφθηκε από τον ερευνητή ασφαλείας Abdelhamid Naceri και αποκαλύφθηκε στη Microsoft, η οποία το διόρθωσε ως μέρος της ενημέρωσης κώδικα του Αυγούστου 2021.
Λίγο μετά την κυκλοφορία της επιδιόρθωσης, ο Naceri παρατήρησε ότι η ενημέρωση κώδικα της Microsoft ήταν ημιτελής και παρουσίασε ένα PoC όπου την παρέκαμψε σε όλες τις εκδόσεις των Windows.
Η ομάδα 0patch παρενέβη σε εκείνο το σημείο, κυκλοφόρησε μια ανεπίσημη ενημέρωση ασφαλείας για όλες τις εκδόσεις των Windows, καθιστώντας δωρεάν τη λήψη της για όλους τους εγγεγραμμένους χρήστες.
Δείτε ακόμα: Σφάλματα zero-day σε APC UPS μπορούν να απενεργοποιήσουν την τροφοδοσία
Η Microsoft απάντησε επίσης σε αυτήν την παράκαμψη με μια δεύτερη ενημέρωση ασφαλείας που κυκλοφόρησε τον Ιανουάριο του 2022, δίνοντας στην παράκαμψη ένα νέο αναγνωριστικό παρακολούθησης ως CVE-2022-21919 και επισημαίνοντάς το ως διορθωμένο. Ωστόσο, ο Naceri βρήκε έναν τρόπο να παρακάμψει και αυτή τη διόρθωση ενώ σχολίασε ότι αυτή η προσπάθεια ήταν χειρότερη από την πρώτη.
Κατά τη δοκιμή της ενημερωμένης έκδοσης κώδικα έναντι της δεύτερης παράκαμψης του ερευνητή, η 0patch διαπίστωσε ότι η ενημερωμένη έκδοση κώδικα στο DLL “profext.dll” εξακολουθούσε να προστατεύει τους χρήστες από τη νέα μέθοδο εκμετάλλευσης, επιτρέποντας σε αυτά τα συστήματα να παραμένουν ασφαλή.
Ωστόσο, η δεύτερη προσπάθεια επιδιόρθωσης του zero-day της Microsoft αντικατέστησε το αρχείο “profext.dll”, οδηγώντας στην κατάργηση της ανεπίσημης επιδιόρθωσης από όλους όσους είχαν εφαρμόσει τις ενημερώσεις των Windows του Ιανουαρίου 2022.
Η 0patch έχει πλέον μεταφέρει την ενημέρωση κώδικα για να λειτουργεί με τις ενημερώσεις του Μαρτίου 2022 Patch Tuesday και την έχει διαθέσει δωρεάν σε όλους τους εγγεγραμμένους χρήστες.
Οι εκδόσεις των Windows που μπορούν να επωφεληθούν από το νέο micro-patch είναι οι ακόλουθες:
- Windows 10 v21H1 (32 & 64 bit) με ενημερώσεις Μαρτίου 2022
- Windows 10 v20H2 (32 & 64 bit) με ενημερώσεις Μαρτίου 2022
- Windows 10 v1909 (32 & 64 bit) με ενημερώσεις Μαρτίου 2022
- Windows Server 2019 (64 bit) με ενημερώσεις Μαρτίου 2022
Θα πρέπει να σημειωθεί ότι τα Windows 10 1803, τα Windows 10 1809 και τα Windows 10 2004 εξακολουθούν να προστατεύονται από την αρχική ενημέρωση κώδικα της 0patch, καθώς αυτές οι συσκευές έχουν φτάσει στο τέλος της υποστήριξης και δεν έλαβαν την ενημέρωση της Microsoft που αντικατέστησε το DLL.
Δείτε επίσης: Google: Διπλασιάζει τις ανταμοιβές για Zero-day σε Linux Kernel
Το micro-patch θα παραμείνει διαθέσιμο για δωρεάν λήψη στους χρήστες των παραπάνω εκδόσεων των Windows, εφόσον η Microsoft δεν έχει κυκλοφορήσει μια πλήρη επιδιόρθωση για το συγκεκριμένο πρόβλημα LPE και όλες τις παρακάμψεις του.
Για όσους ενδιαφέρονται μπορούν να δημιουργήσουν έναν δωρεάν λογαριασμό στο 0patch Central και στη συνέχεια να εγκαταστήσουν το 0patch Agent από εδώ.
