Сегодня 31 мая 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Обнаружена уязвимость Windows, позволяющая откатывать обновления безопасности

С целью обхода функций безопасности Windows, в частности, Driver Signature Enforcement, злоумышленники могут понижать версии компонентов ядра системы и развёртывать в ней руткиты. Хакеры способны брать под контроль механизм обновления Windows, чтобы внедрять на обновлённую машину устаревшие и уязвимые программные компоненты — при этом система формально сохраняет статус актуальной.

 Источник изображения: Ricardo Resende / unsplash.com

Источник изображения: Ricardo Resende / unsplash.com

О проблеме сообщил эксперт компании SafeBreach Алон Левиев (Alon Leviev), но в Microsoft её отвергли, заявив, что она не превышает заданного уровня угроз, потому что позволяет запускать код в ядре только с привилегиями администратора. Исследователь разработал и опубликовал инструмент Windows Downdate, который позволяет произвольно понижать версии компонентов и повторно открывать на, казалось бы, полностью обновлённой ОС уже известные уязвимости. Ему удалось обойти защиту функции Driver Signature Enforcement (DSE) — так гипотетический злоумышленник может загрузить неподписанные драйверы и развернуть руткит, который отключит средства управления безопасностью. При этом действия хакера останутся незамеченными.

Изучая механизм вредоносного отката версий компонентов, Левиев открыл уязвимость, которой был присвоен номер CVE-2024-21302. Она позволяет повышать привилегии пользователя, и Microsoft её закрыла. Но уязвимость Windows Update остаётся актуальной. Атака, как продемонстрировал исследователь, производится путём подмены файла ci.dll, ответственного за обеспечение работы DSE, на более старую версию, которая не требует наличия подписи у драйверов и позволяет им обходить средства защиты — уязвимая копия библиотеки загружается в память сразу после того, как Windows начинает проверку её последней копии. В результате система «думает», что проверила файл, и позволяет загружать в ядро неподписанные драйверы.

Эксперт описал метод отключения или обхода средства Microsoft Virtualization-based Security (VBS), которое создаёт в Windows изолированную среду для защиты важных ресурсов. Обычно для этого блокируются UEFI и изменения конфигурации реестра, но её можно отключить, если у неё не установлены максимальные настройки безопасности — для этого необходимо изменить в реестре один из ключей. При частичном отключении некоторые файлы VBS могут заменяться уязвимыми версиями, открывая путь к вмешательству в работу средств Windows Update. Господин Левиев указывает, что необходимо осуществлять тщательный мониторинг процедур понижения версии, даже если эти процедуры не превышают заданных уровней угроз.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Samsung осталась единственным мировым производителем смартфонов, который выпускает их полностью самостоятельно 2 мин.
Шум во благо: физики добились квантовой «гиперзапутанности» атомов при помощи лазерного пинцета 25 мин.
Скидки на iPhone сработали: продажи иностранных смартфонов в Китае слегка подросли в апреле 28 мин.
InnoGrit представила SSD серии N3X — альтернативу Intel Optane с показателем IOPS до 3,5 млн 2 ч.
OpenYard представила серверы RS102I и RS202I на базе Intel Xeon Emerald Rapids 2 ч.
Илон Маск начал проталкивать в США закон о беспилотном транспорте 3 ч.
1 000 000 Гбит/с на 1800 км: японцы установили рекорд скорости передачи данных по почти обычному оптоволокну 3 ч.
Synopsys уже прекратила обслуживать разработчиков чипов на территории Китая 6 ч.
TSMC рассматривает возможность строительства в ОАЭ предприятия по производству чипов 8 ч.
Microsoft отложила разработку портативной Xbox и сосредоточится на консолях партнёров 15 ч.