В рамках апрельского «вторника исправлений» компания Microsoft выпустила пакет обновлений, устраняющих в общей сложности 74 бага, включая две уязвимости нулевого дня, в различных продуктах. В минувшем месяце производитель также исправил две уязвимости в Windows, активно атакуемые злоумышленниками.
Обе «свежие» проблемы (CVE-2019-0803 и CVE-2019-0859) представляют собой уязвимости повышения привилегий, затрагивающие компонент Win32k. Согласно описанию Microsoft, баг существует в связи с некорректной обработкой объектов в памяти, а его эксплуатация позволяет выполнить код в режиме ядра. В результате злоумышленник получит возможность устанавливать программы, просматривать, изменять или удалять данные, создавать новые учетные записи с полными правами и т.д. Для эксплуатации уязвимости атакующий должен авторизоваться в системе и запустить вредоносное приложение.
В каких именно атаках используются вышеуказанные уязвимости, компания не сообщила.
В числе прочих производитель устранил ряд критических уязвимостей в различных компонентах, в частности, CVE-2019-0824, CVE-2019-0825 и CVE-2019-0827 в СУБД Microsoft Access и CVE-2019-0853 в компоненте Windows GDI+. С полным списком исправленных проблем можно ознакомиться здесь.
Взято ©: https://www.securitylab.ru
Исследователь в области безопасности Набил Ахмед (Nabeel Ahmed) опубликовал демонстрационный эксплоит для уязвимости (CVE-2019-0841) повышения привилегий в Windows, вызванной некорректной обработкой жестких ссылок сервисом AppX Deployment Service (AppXSVC), используемым для запуска приложений Windows Apps, а также для установки и деинсталляции данных приложений.
С помощью данной уязвимости атакующий может повысить права в Windows 10 и Windows Server 2019, что позволит устанавливать программы или модифицировать данные на системе.
Проанализировав, как обрабатываются конфигурационные файлы settings.dat, Ахмед обнаружил, что может получить полный контроль над практически любым файлом при наличии минимальных прав. Исследователь продемонстрировал работу эксплоита на примере Microsoft Edge. Для этого он использовал конфигурационный файл Edge, запущенный в контексте обычного пользователя, для получения полного контроля над файлом hosts, который могут изменять только пользователи с правами администратора или уровня SYSTEM.
Процесс эксплуатации выглядит следующим образом:
1. Эксплоит проверяет, существует ли целевой файл, и если существует, проверяет его разрешения. Далее он отключает Microsoft Edge для доступа к файлу settings.dat.
2. На следующем этапе эксплоит проверяет settings.dat и удаляет его для того, чтобы создать жесткую ссылку на запрашиваемый файл (в данном случае hosts).
3. После создания жесткой ссылки запускается Microsoft Edge для эксплуатации уязвимости. Затем эксплоит проверяет, установлены ли разрешения Full Control для текущего пользователя.
Ахмед также опубликовал видео, демонстрирующее, как атакующий может использовать сервис Google Chrome Update для повышения привилегий на системе.