Опубликован PoC-эксплоит для уязвимости 0-day в Windows

Угрозы нулевого дня, вспышки эпидемий и всё, что ещё не изучено.
Ответить
Аватара пользователя
HADD-NEELS
Сообщения: 22782
Зарегистрирован: 12 окт 2016, 18:17

Опубликован PoC-эксплоит для уязвимости 0-day в Windows

Сообщение HADD-NEELS »

ИБ-специалистка, известная под псевдонимом SandboxEscaper, опубликовала в сети эксплоит для свежей уязвимости нулевого дня в Windows. Интересно, что SandboxEscaper поступает так уже в третий раз.

Первый 0-day исследовательница раскрыла в конце лета 2018 года. Тогда она опубликовалав Twitter информацию о неисправленной уязвимости в Windows со ссылкой на proof-of-concept эксплоит. В коротком и эмоциональном сообщении специалистка писала, что ее уже ничего не волнует, и она больше не собирается пытаться сообщать об уязвимостях представителям Microsoft. После этого исследовательница попыталась удалить свое сообщение и весь Twitter-аккаунт, но в итоге передумала и восстановила учетную запись. Буквально неделю спустя стало известно, что этот баг уже взяли на вооружение хакеры.
[MEDIA=youtube]x4P2H64GI1o[/MEDIA]
О второй проблеме нулевого дня SandboxEscaper так же сообщила через Twitter, но уже в конце октября текущего года. Эта уязвимость была связана с работой Microsoft Data Sharing (dssvc.dll), локального сервиса, который отвечает за обмен данными между приложениями. Сторонние специалисты по информационной безопасности изучили опубликованный эксплоит, подтвердили выводы SandboxEscaper и пришли к заключению, что баг позволяет атакующему повысить привилегии в системе, к которой у него уже был доступ.
В настоящее время о новой проблеме известно немного. Уязвимость касается работы ReadFile, функциональности, которую Windows использует для чтения данных из файлов и I/O устройств; также уязвимость связана с функцией MsiAdvertiseProduct.

Сооснователь и CEO компании ACROS Security, Митя Колсек (Mitja Kolsek), который занимался изучением первых двух эксплоитов SandboxEscaper, пишет, что новая уязвимость определенно существует, а эксплоит работает. Проблема, по его словам, заключается в том, что пользователь с низкими привилегиями может прочитать любой файл, доступный для локального аккаунта. То есть, по сути, новый баг связан с эскалацией привилегий, как и первые два.

Вскоре после публикации эксплоита, аккаунт SandboxEscaper на GitHub был заблокирован. В своем блоге исследовательница обвиняет в этом Microsoft. Кроме того, на прошлой неделе специалистка сообщала, что представители ФБР обратились в Google с повесткой и просьбой предоставить информацию о SandboxEscaper.

Неизвестно, с чем именно связана эта активность, но СМИ отмечают, что SandboxEscaper рекламирует свои 0-day уязвимости в сети и предлагает эксплоиты на продажу (в том числе зарубежным правительствам), что является нарушением законов США. Более того, в этом месяце аккаунт специалистки в Twitter был заблокирован, так как она угрожала физической расправой президенту США Дональду Трампу.

https://xakep.ru/2018/12/21/new-win-0day/
Ответить

Вернуться в «Новости угроз безопасности»