Утечка кода эксплоита к уязвимости в RDP – виновна Microsoft?

image

Теги: Microsoft, утечка данных, эксплоит

PoC код к уязвимости в RDP оказался в открытом доступе по вине Microsoft или партнеров компании.

Эта неделя была невероятно интересной для специалистов по безопасности сразу по нескольким причинам. Первое – плановый выпуск исправлений от Microsoft, устраняющий критическую уязвимость в RDP. Второе – невероятная гонка за эксплоитом к этой уязвимости. Первые варианты бинарного анализа патча к MS12-020 были опубликованы уже в среду, 14 марта, спустя всего несколько часов с момента выхода исправления. В этот же день на сайте gun.io было опубликовано сообщение о желании приобрести рабочий эксплоит к уязвимости CVE-2012-0002 за $1435. На момент написания новости, сумма гонорара составляет $1500.

В ночь с 14 на 15 марта на сайте Pastebin был опубликован исходный код эксплоита от имени Sabu - бывшего участника группы LulzSec. Однако его анализ показал, что этот код не демонстрирует наличие уязвимости в RDP (скорее всего, был опубликован в качестве шутки). Днем, 15 марта, на китайских форумах появился функциональный PoC код, демонстрирующий эксплуатацию уязвимости - файл rdpclient.exe. Анализ этого файла был немного неожиданным, файл содержал строку «MSRC11678», указывающую на его принадлежность к Microsoft MSRC – лаборатории Microsoft, занимающейся исследованием уязвимостей в продуктах компании. Вслед за появлением файла rdpclient.exe, итальянский исследователь информационной безопасности Луиджи Ориемма (Luigi Auriemma) опубликовал уведомление с подробным описанием уязвимости CVE-2012-0002 и демонстрационный код. В уведомлении говорится, что об уязвимости исследователь сообщил в мае 2011 года. Подробности уязвимости были сообщены компании Zero Day Initiative (ZDI), сотрудники которой передали рабочий PoC-код Microsoft в ноябре 2011 года.

«Пакет, используемых в «китайском» rdpclient.exe PoC-коде - ИМЕННО ТОТ, который я передал ZDi», - написал Луиджи в своем Твите. Луиджи также предположил, что утечка кода могла произойти от одного из партнеров Microsoft по программе MAAP.

В настоящий момент Microsoft расследует инцидент, связанный с утечкой данных по уязвимости в RDP. Об этом сообщил изданию V3 Юнсан Ви (Yunsun Wee), директор Microsoft Trustworthy Computing, подчеркнув, что компания примет все необходимые меры, чтобы защитить своих клиентов.

«Хакеры оперативно работают над этой уязвимостью, и мы уже зафиксировали несколько попыток эксплуатации данной бреши, - заявил Грэм Клули (Graham Cluley), старший технический консультант компании Sophos. – Уязвимые компьютеры на базе ОС Windows выдают «синий экран», но я не удивлюсь, если тот, кто пишет этот код, попытается создать червя, способного быстро распространяться в сети Интернет».

Более подробное описание уязвимости можно найти здесь.

Код демонстрационного эксплоита доступен здесь.

SecurityLab.ru еще раз настоятельно рекомендует установить исправление безопасности MS12-020.


или введите имя

CAPTCHA
Адвокат
18-03-2012 07:17:36
Че за детский сад? Как может быть майкрософт виновата если любой реверсер может взять патч, сравнить изменения тем самым найти уязвимый компонент, а написать сплойт уже дело времени.
0 |
Прокурор
18-03-2012 07:44:51
Что за детский сад? Вы статью-то вообще читали? Там же написано - что код эксплоита в точности соответствует ранее известному и в нем есть строка, указывающая на его принадлежность к Microsoft MSRC.
0 |
Я
18-03-2012 12:32:38
да, вина корпорации зла налицо. ведь все знают, что написать в своём файле строку "MSRC" может только уполномоченный сотрудник, у всех других сразу взрывается компьютер, мозг и/или левое яичко.
0 |
us3r
19-03-2012 03:40:19
«Пакет, используемых в «китайском» rdpclient.exe PoC-коде - ИМЕННО ТОТ, который я передал ZDi», - написал Луиджи... - в этот вся фишка (а не в "MSRC").
0 |
Дмитрий
19-03-2012 10:21:35
ППц , "май 2011" - "ноябрь 2011".. сейчас у нас вроде как 19 марта 2012... бытсро работают товарищи =)
0 |