WhiteHat News #ID:2112
VIP Members
-
16/06/2015
-
83
-
672 bài viết
Google tiết lộ lỗ hổng Windows đang bị khai thác trong thực tế
Đây là lỗi tràn số nguyên bắt nguồn từ các IOCTL mà Windows Kernel Cryptography Driver (cng.sys) hỗ trợ và có thể dẫn đến leo thang đặc quyền, bao gồm thoát khỏi sandbox.
Được phát hiện bởi các nhà nghiên cứu của Google Project Zero, lỗ hổng zero-day này (CVE-2020-17087) nằm trong IOCTL 0x390400, trong hàm cng!CfgAdtpFormatPropertyBlock.
“Windows Kernel Cryptography Driver (cng.sys) hiển thị một thiết bị \Device\CNG với các chương trình ở chế độ người dùng và hỗ trợ nhiều IOCTL với cấu trúc đầu vào đặc biệt. Nó tạo thành một bề mặt tấn công có thể truy cập cục bộ mà có thể bị khai thác để leo thang đặc quyền”.
Thông tin chi tiết về lỗ hổng được gửi lên nhóm thảo luận của Google Project Zero vào ngày 22/10. Vì lỗ hổng đã bị khai thác trong các cuộc tấn công thực tế, thông tin được công khai sau 7 ngày, theo chính sách của Google (đối với các lỗ hổng không bị nhắm mục tiêu, các nhà cung cấp có 90 ngày để vá).
Các nhà nghiên cứu đã công bố mã nguồn của một mã khai thác cho lỗ hổng này, được thử nghiệm trên “bản dựng mới nhất của Windows 10 1903 (64-bit)”.
Tuy nhiên, họ lưu ý rằng vấn đề có thể đã xuất hiện trong Windows 7.
Theo Google Project Zero, crash là việc dễ dàng với Special Pools được kích hoạt cho cng.sys, nhưng ngay cả trong cấu hình mặc định, làm lỗi 64kB dữ liệu hạt nhân gần như chắc chắn sẽ làm crash hệ thống sau khi chạy mã khai thác”.
Lỗ hổng này dường như đã bị khai thác trong các cuộc tấn công có chủ đích, nhưng không liên quan đến bầu cử Hoa Kỳ.
Microsoft cho biết: “Microsoft cam kết với khách hàng là điều tra các vấn đề bảo mật được báo cáo và cập nhật các thiết bị bị ảnh hưởng để bảo vệ khách hàng. Mặc dù chúng tôi làm việc để đáp ứng tất cả các thời hạn tiết lộ của các nhà nghiên cứu, bao gồm cả thời hạn ngắn hạn như trong trường hợp này, nhưng việc phát triển một bản cập nhật bảo mật là sự cân bằng giữa tính kịp thời và chất lượng, và mục tiêu cuối cùng của chúng tôi là giúp đảm bảo bảo vệ khách hàng tối đa với sự gián đoạn tối thiểu của khách hàng”.
Được phát hiện bởi các nhà nghiên cứu của Google Project Zero, lỗ hổng zero-day này (CVE-2020-17087) nằm trong IOCTL 0x390400, trong hàm cng!CfgAdtpFormatPropertyBlock.
“Windows Kernel Cryptography Driver (cng.sys) hiển thị một thiết bị \Device\CNG với các chương trình ở chế độ người dùng và hỗ trợ nhiều IOCTL với cấu trúc đầu vào đặc biệt. Nó tạo thành một bề mặt tấn công có thể truy cập cục bộ mà có thể bị khai thác để leo thang đặc quyền”.
Thông tin chi tiết về lỗ hổng được gửi lên nhóm thảo luận của Google Project Zero vào ngày 22/10. Vì lỗ hổng đã bị khai thác trong các cuộc tấn công thực tế, thông tin được công khai sau 7 ngày, theo chính sách của Google (đối với các lỗ hổng không bị nhắm mục tiêu, các nhà cung cấp có 90 ngày để vá).
Các nhà nghiên cứu đã công bố mã nguồn của một mã khai thác cho lỗ hổng này, được thử nghiệm trên “bản dựng mới nhất của Windows 10 1903 (64-bit)”.
Tuy nhiên, họ lưu ý rằng vấn đề có thể đã xuất hiện trong Windows 7.
Theo Google Project Zero, crash là việc dễ dàng với Special Pools được kích hoạt cho cng.sys, nhưng ngay cả trong cấu hình mặc định, làm lỗi 64kB dữ liệu hạt nhân gần như chắc chắn sẽ làm crash hệ thống sau khi chạy mã khai thác”.
Lỗ hổng này dường như đã bị khai thác trong các cuộc tấn công có chủ đích, nhưng không liên quan đến bầu cử Hoa Kỳ.
Microsoft cho biết: “Microsoft cam kết với khách hàng là điều tra các vấn đề bảo mật được báo cáo và cập nhật các thiết bị bị ảnh hưởng để bảo vệ khách hàng. Mặc dù chúng tôi làm việc để đáp ứng tất cả các thời hạn tiết lộ của các nhà nghiên cứu, bao gồm cả thời hạn ngắn hạn như trong trường hợp này, nhưng việc phát triển một bản cập nhật bảo mật là sự cân bằng giữa tính kịp thời và chất lượng, và mục tiêu cuối cùng của chúng tôi là giúp đảm bảo bảo vệ khách hàng tối đa với sự gián đoạn tối thiểu của khách hàng”.
Theo Security Week