Security Week 45: тандем уязвимостей в Windows 10 и Chrome

Security Week 45: тандем уязвимостей в Windows 10 и Chrome
8d3e2bcbd15a0ad6b9b401592a86cad8.jpeg

На прошлой неделе команда Google Project Zero раскрыла детали уязвимости в Windows 10, которая позволяет атакующему получить системные привилегии на компьютере жертвы.

Удивительно в проблеме то, что она использовалась в реальной атаке в комбинации с другой, также недавно найденной уязвимостью в браузере Google Chrome. Там нашли ошибку в обработчике шрифтов FreeType (уже закрытую), которая позволяла совершить побег из песочницы. Пара уязвимостей, соответственно, делала возможным такой сценарий: жертву заманивают на зараженную веб-страницу, злоумышленники запускают код за пределами защищенной среды браузера, а уязвимость в Windows дает им полный контроль над системой.

Этот сценарий — умозрительный: детали самой атаки Google не раскрывает. При этом команда Project Zero применила правило раскрытия данных об уязвимостях нулевого дня и дала Microsoft всего семь дней на выпуск патча. На момент публикации заплатки для Windows еще нет: его, скорее всего, включат в регулярный набор обновлений, запланированный на 10 ноября. По традиции, произошел довольно едкий обмен мнениями: в Microsoft считают, что безопасники Google могли потерпеть с публикацией, в Project Zero уверены, что стимулируют вендоров быстрее выпускать патч — возможно, даже вне стандартного расписания.

6e207aa553db8a081afcce6047e6bd99.png

Источники

Баг в Windows 10: статья ArsTechnica, техническая информация .
Уязвимость в Google Chrome: технические данные и обсуждение в багтрекере Project Zero.

Уязвимость CVE-2020-117087 затрагивает как минимум Windows 10 и Windows 7. Она присутствует в одной из системных функций для шифрования данных. Ошибка в обработке информации вызывает переполнение буфера и создает условия для запуска произвольного кода с системными привилегиями. В технической статье Project Zero показана логика работы уязвимой функции в псевдокоде, а также приложен PoC-скрипт, вызывающий падение системы.

В свою очередь, уязвимость в браузере Chrome, скорее всего, затрагивает и другие браузеры на движке Blink. Возможно, не только браузеры: ошибку нашли в коде сторонней библиотеки . Интересно, что в Microsoft не подтверждают активную эксплуатацию уязвимости в Windows, в то время как в Google считают иначе. Если реальная атака действительно имела место (информация о ней не раскрывается), то в любом случае ее начальным этапом был браузер Chrome. Патч уязвимости в библиотеке FreeType сделал этот конкретный метод атаки невозможным. Что, конечно, не исключает вероятность эксплуатации уязвимости в Windows другими способами.

Что еще произошло:

dd1b9a915028fa7a4cb6fdc659572a06.png
Эксперты «Лаборатории Касперского» опубликовали отчет о DDoS-атаках в III квартале этого года. Общее количество кампаний заметно снизилось по сравнению с предыдущим периодом, в котором зафиксировали аномально высокую активность киберпреступников, связанную, очевидно, с пандемией.

В компании Sophos сообщают о методе фишинга паролей к учетным записям Facebook, который пытается обойти двухфакторную аутентификацию. Пользователям предлагают (под угрозой удаления страницы) оспорить якобы поступившую жалобу на нарушение авторских прав. На поддельной странице для входа в аккаунт предлагают ввести логин, пароль и одноразовый код для входа в аккаунт.

b6c7ea039f15ac754cac8d3b59967203.png
В Финляндии утекли данные как минимум 300 клиентов психотерапевтического центра Vaastamo. Часть записей попала в общий доступ, некоторым пациентам рассылают требования выкупа примерно в 200 евро в криптовалюте и угрожают опубликовать чувствительную информацию. До этого киберпреступники пытались традиционным путем получить деньги от пострадавшей организации — с нее требовали почти полмиллиона евро.

Чуть менее опасный вариант использования личных данных — атака на клиентские аккаунты в сети ресторанов. Учетные записи некоторых клиентов угнали, скорее всего, методом credential stuffing: злоумышленники смогли подобрать пароль, так как он использовался в других, уже взломанных сервисах. Результат: потеря значительных сумм, так как от имени клиентов поступили крупные заказы. Киберпреступники буквально работали за еду.

В релизе WordPress 5.5.2 закрыли критическую уязвимость, позволявшую получить контроль над непропатченным веб-сайтом. Это нечастый случай серьезной проблемы в коде CMS, а не сторонних плагинов.
10 chrome windows
Alt text

Подписывайтесь на каналы "SecurityLab" в TelegramTelegram и TwitterTwitter, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.