آسیب پذیری جدید صفر روزه که توسط Google کشف شده است!

 

گوگل آسیب پذیری جدید ویندوز صفر روز را کشف کرد که مایکروسافت هنوز هیچ اصلاحیه ای برای آن منتشر نکرده است!

صفر روز (یا صفر روز) آسیب پذیری است که وقتی "صفر روز" از زمان شناخته شدن آن برای توسعه دهنده می گذرد و "صفر روز" برای رفع نقص قبل از هر کسی فرصت دارد. ممکن است فروشنده نرم افزار قبل از سو successfully استفاده از نقص امنیتی ، نتواند پچ را منتشر کند. این به عنوان حمله روز صفر شناخته می شود. محققان امنیتی از تیم Project Zero گوگل این آسیب پذیری را در 31 اکتبر 2020 با CVE-2020-17087 فاش کردند و هفت روز زودتر به مایکروسافت اعلام کردند.

کارشناسان امنیتی گوگل گفتند که مهاجمان در حال حاضر از این آسیب پذیری به همراه یک اشکال Chrome که هفته گذشته برطرف شده بود و به آنها اجازه می داد از جعبه شن و ماسه Chrome فرار کنند استفاده می کنند. sandbox مکانیزمی برای اجرای برنامه ها در فضای محدود است و از اجرای هرگونه بدافزار بر روی سیستم عامل جلوگیری می کند. جعبه شن از امنیت ارائه شده توسط سیستم عامل بهره می برد.

sandbox

در ویندوز جعبه ماسه در سطح فرآیند کار می کند ، این بدان معناست که همه کارهایی که باید جعبه ماسه بندی شوند باید در یک فرآیند جداگانه انجام شوند. در سطح عملکردی ، پیکربندی شامل یک فرآیند ممتاز به نام broker است که علاوه بر مدیریت فرآیندهای مختلف ارسال شده به sandbox ، بنام render در Chrome ، میزبان سرویس IPC است. این سرویس کانال ارتباطی بین کارگزار و API ها است که به هسته سیستم عامل متکی هستند و دقیقاً برای جلوگیری از قرار گرفتن در معرض API در فرآیند ارسال شده در جعبه شن ، اجرا می شود. بدون این مکانیسم ، فرآیند مجاز به نوشتن مستقیم در سیستم فایل است.

آسیب پذیری کشف شده توسط گوگل مربوط به خطایی در درایور رمزگذاری هسته ویندوز است. API مورد بحث ، cng.sys (کتابخانه ابتدایی رمزنگاری حالت هسته مایکروسافت) ، برای اجازه دادن به کارگزار کاربر با معیارهای بالاتر ، مانند معیارهای مدیر ، استفاده می شود. این حمله با استفاده فرار از جعبه شن و در نتیجه دسترسی نامحدود با امتیازات اداری بر روی سیستم قربانی ، یک PoE (تشدید امتیازات) ایجاد می کند.

Windows zero-day CVE-2020-17087: تجزیه و تحلیل اشکال

این آسیب پذیری به دلیل وجود خطای محدودیت در داخل درایور رمزگذاری هسته ویندوز cng.sys است. در عمل این یک سرریز بافر است ، در روال معمول است که عملیات ورودی / خروجی (IOCTL) دستگاه مجازی "\ Device \ CNG" را مدیریت می کند.

در حقیقت یک سری تماس وجود دارد که هیچ ورودی برای آنها فیلتر نمی شود ، به ویژه در عملکرد "cng! CfgAdtpFormatPropertyBlock" که باعث بریده شدن عددهای صحیح 16 بیتی می شود. این یعنی چی؟

به زبان ساده ، در پردازش IOCTL 0x390400 در مورد InputBuffer ، یک بافر ناکافی (0x2AAB) در بخشی از حافظه که تماس های ورودی را مدیریت می کند ، اختصاص داده می شود، که در این حالت خیلی کوچک است (CONST USHORT DestinationSize = (USHORT) (6 * SourceLength)) ، بیش از این حد باعث سرریز بافر می شود.

چرا سیستم های مایکروسافت آسیب پذیر هستند و چه کاری باید انجام دهیم؟

متأسفانه ، همه سیستم های ویندوز در معرض این نوع سوit استفاده قرار دارند و مسئله ای که این اشکال را خطرناک تر می کند این واقعیت ساده است که در حال حاضر مایکروسافت هنوز هیچ اصلاحیه وصله ای را منتشر نکرده و همچنین سیستم تخفیف وجود ندارد.

نکته مثبت این است که آسیب پذیری نمی تواند از راه دور مورد سو استفاده قرار بگیرد و مهاجم باید حداقل به عنوان یک کاربر محدود برای اجرای سو explo استفاده به سیستم دسترسی داشته باشد.

کارشناسان برای محافطت از سیستم ویندز این پیشنهادات را ارائه داده اند:

·        با بارگیری جدیدترین نسخه ها و به روزرسانی های نرم افزار ، وصله های نرم افزاری و امنیتی خود را به روز نگه دارید. نصب وصله های امنیتی اشکالاتی را رفع می کند که ممکن است نسخه قبلی آنها را ندیده باشد.

·        عادات امنیتی آنلاین ایمن ایجاد کنید.

·        تنظیمات امنیتی سیستم عامل ، مرورگر اینترنت و نرم افزار امنیتی را پیکربندی کنید.

·        برای جلوگیری از تهدیدهای شناخته شده و ناشناخته آسیب پذیری ها ، یک نرم افزار امنیتی فعال و جامع نصب کنید.

·        وصله امنیتی که باید این اشکال را برطرف کند ، به احتمال زیاد توسط مایکروسافت در تاریخ 10 نوامبر، در وصله بعدی سه شنبه منتشر خواهد شد.