Утечка кода эксплоита к уязвимости в RDP – виновна Microsoft?

Эта неделя была невероятно интересной для специалистов по безопасности сразу по нескольким причинам. Первое – плановый выпуск исправлений от Microsoft, устраняющий критическую уязвимость в RDP. Второе – невероятная гонка за эксплоитом к этой уязвимости. Первые варианты бинарного анализа патча к MS12-020 были опубликованы уже в среду, 14 марта, спустя всего несколько часов с момента выхода исправления. В этот же день на сайте gun.io было опубликовано сообщение о желании приобрести рабочий эксплоит к уязвимости CVE-2012-0002 за $1435. На момент написания новости, сумма гонорара составляет $1500.

В ночь с 14 на 15 марта на сайте Pastebin был опубликован исходный код эксплоита от имени Sabu - бывшего участника группы LulzSec. Однако его анализ показал, что этот код не демонстрирует наличие уязвимости в RDP (скорее всего, был опубликован в качестве шутки). Днем, 15 марта, на китайских форумах появился функциональный PoC код, демонстрирующий эксплуатацию уязвимости - файл rdpclient.exe. Анализ этого файла был немного неожиданным, файл содержал строку «MSRC11678», указывающую на его принадлежность к Microsoft MSRC – лаборатории Microsoft, занимающейся исследованием уязвимостей в продуктах компании. Вслед за появлением файла rdpclient.exe, итальянский исследователь информационной безопасности Луиджи Ориемма (Luigi Auriemma) опубликовал уведомление с подробным описанием уязвимости CVE-2012-0002 и демонстрационный код. В уведомлении говорится, что об уязвимости исследователь сообщил в мае 2011 года. Подробности уязвимости были сообщены компании Zero Day Initiative (ZDI), сотрудники которой передали рабочий PoC-код Microsoft в ноябре 2011 года.

«Пакет, используемых в «китайском» rdpclient.exe PoC-коде - ИМЕННО ТОТ, который я передал ZDi», - написал Луиджи в своем Твите . Луиджи также предположил, что утечка кода могла произойти от одного из партнеров Microsoft по программе MAAP.

В настоящий момент Microsoft расследует инцидент, связанный с утечкой данных по уязвимости в RDP. Об этом сообщил изданию V3 Юнсан Ви (Yunsun Wee), директор Microsoft Trustworthy Computing, подчеркнув, что компания примет все необходимые меры, чтобы защитить своих клиентов.

«Хакеры оперативно работают над этой уязвимостью, и мы уже зафиксировали несколько попыток эксплуатации данной бреши, - заявил Грэм Клули (Graham Cluley), старший технический консультант компании Sophos. – Уязвимые компьютеры на базе ОС Windows выдают «синий экран», но я не удивлюсь, если тот, кто пишет этот код, попытается создать червя, способного быстро распространяться в сети Интернет».

Более подробное описание уязвимости можно найти здесь .

Код демонстрационного эксплоита доступен здесь .

SecurityLab.ru еще раз настоятельно рекомендует установить исправление безопасности MS12-020.