Əvvəllər biz İstifadəçinin kompüterindən uzaq serverə məlumat yükləmək üçün xüsusi hazırlanmış MHT faylından istifadə etməyə imkan verən Internet Explorer-də aşkar edilmiş sıfır günlük zəiflik haqqında. Bu yaxınlarda təhlükəsizlik üzrə mütəxəssis Con Peyc tərəfindən aşkar edilmiş bu boşluq bu sahədə daha bir tanınmış mütəxəssisi - təhlükəsizlik auditi şirkəti ACROS Security-nin direktoru və 0patch micropatch xidmətinin həmtəsisçisi Mitya Kolsek-i yoxlamaq və öyrənmək qərarına gəlib. O araşdırmasının tam xronikası, Microsoft-un problemin ciddiliyini əhəmiyyətli dərəcədə qiymətləndirmədiyini göstərir.
Qəribədir ki, Kolsek əvvəlcə Conun təsvir etdiyi və nümayiş etdirdiyi hücumu təkrar edə bilmədi, burada zərərli MHT faylını yükləmək və sonra açmaq üçün Windows 7-də işləyən Internet Explorer-dən istifadə etdi. Onun proses meneceri özündən oğurlanması planlaşdırılan system.ini-nin MHT faylında gizlədilmiş skript tərəfindən oxunduğunu, lakin uzaq serverə göndərilmədiyini göstərsə də.
Kolsek yazır: "Bu, İnternetin klassik işarəsi vəziyyətinə bənzəyirdi". “İnternetdən fayl qəbul edildikdə, veb brauzerlər və e-poçt müştəriləri kimi düzgün işləyən Windows proqramları formada belə fayla etiket əlavə edir. ZoneId = 3 sətrini ehtiva edən Zone.İdentifikator adı ilə. Bu, digər proqramlara faylın etibarsız mənbədən gəldiyini və buna görə də qum qutusunda və ya digər məhdudlaşdırılmış mühitdə açılmalı olduğunu bilməyə imkan verir."
Tədqiqatçı IE-nin yüklənmiş MHT faylı üçün həqiqətən belə bir etiket təyin etdiyini təsdiqlədi. Kolsek daha sonra Edge-dən istifadə edərək eyni faylı endirməyə və MHT faylları üçün standart tətbiq olaraq qalan IE-də açmağa çalışdı. Gözlənilmədən istismar işə yaradı.
Əvvəlcə tədqiqatçı “Veb nişanı”nı yoxladı, məlum oldu ki, Edge faylın mənşəyinin mənbəyini təhlükəsizlik identifikatorundan əlavə alternativ məlumat axınında da saxlayır ki, bu da bunun məxfiliyi ilə bağlı bəzi suallar yarada bilər. üsul. Kolsek, əlavə xətlərin IE-ni qarışdıra biləcəyini və SID-i oxumasına mane ola biləcəyini fərz etdi, lakin göründüyü kimi, problem başqa yerdə idi. Uzun bir təhlildən sonra təhlükəsizlik mütəxəssisi səbəbi, Edge-in yüklədikdən sonra əlavə etdiyi müəyyən bir sistem xidmətinə MHT faylını oxumaq hüququ əlavə edən girişə nəzarət siyahısındakı iki girişdə tapdı.
James Foreshaw, xüsusi sıfır gün zəifliyi komandasından - Google Project Zero - tvit etdi ki, Edge tərəfindən əlavə edilən qeydlər Microsoft.MicrosoftEdge_8wekyb3d8bbwe paketi üçün qrup təhlükəsizlik identifikatorlarına istinad edir. Zərərli faylın girişə nəzarət siyahısından SID S-1-15-2 - * ikinci sətri çıxarıldıqdan sonra istismar artıq işləmir. Nəticə olaraq, Edge tərəfindən əlavə edilən icazə faylın IE-də sandboxdan yan keçməsinə icazə verdi. Kolsek və onun həmkarlarının təklif etdiyi kimi, Edge faylı qismən təcrid olunmuş mühitdə işlətməklə yüklənmiş faylları aşağı etibarlı proseslərin girişindən qorumaq üçün bu icazələrdən istifadə edir.
Daha sonra tədqiqatçı IE-nin təhlükəsizlik sisteminin uğursuzluğuna nəyin səbəb olduğunu daha yaxşı başa düşmək istədi. Proses Monitor yardım proqramı və IDA sökücüdən istifadə etməklə aparılan dərin təhlil son nəticədə Edge-in təyin edilmiş rezolyusiyasının Win Api funksiyasının GetZoneFromAlternateDataStreamEx-in Zone.Identifier fayl axınını oxumasına mane olduğunu və xəta qaytardığını aşkar etdi. Internet Explorer üçün, faylın təhlükəsizlik etiketini tələb edərkən belə bir səhv tamamilə gözlənilməz idi və görünür, brauzer səhvin faylda "Veb işarəsi" işarəsinin olmaması ilə bərabər olduğunu düşünür, IE MHT faylında gizlənmiş skriptin yerinə yetirilməsinə və hədəf yerli faylı uzaq serverə göndərilməsinə icazə verdikdən sonra avtomatik olaraq onu etibarlı edir.
"Burada ironiya görürsən?" Kolsek soruşur. "Edge tərəfindən istifadə edilən sənədsiz təhlükəsizlik funksiyası Internet Explorer-də mövcud, şübhəsiz ki, daha vacib (Veb işarəsi) funksiyasını zərərsizləşdirdi."
Zərərli skriptin etibarlı skript kimi işə salınmasına imkan verən zəifliyin əhəmiyyətinin artmasına baxmayaraq, Microsoft-un bu səhvi tez bir zamanda aradan qaldırmaq niyyətində olduğuna dair heç bir əlamət yoxdur. Buna görə də, əvvəlki məqalədə olduğu kimi, MHT fayllarını açmaq üçün standart proqramı istənilən müasir brauzerə dəyişdirməyi məsləhət görürük.
Təbii ki, Kolsekin araşdırmaları bir az da özünü PR-dan kənarda qalmadı. Məqalənin sonunda o, öz şirkəti tərəfindən hazırlanmış 0patch xidmətindən istifadə edə bilən montaj dilində yazılmış kiçik yamağı nümayiş etdirdi. 0patch istifadəçinin kompüterində həssas proqram təminatını avtomatik aşkarlayır və ona dərhal kiçik yamalar tətbiq edir. Məsələn, təsvir etdiyimiz halda, 0patch GetZoneFromAlternateDataStreamEx funksiyasındakı səhv mesajını şəbəkədən alınan etibarsız fayla uyğun gələn dəyərlə əvəz edəcək, beləliklə, IE hər hansı gizli skriptlərin quraşdırılmış sənədlərə uyğun olaraq icrasına icazə verməyəcək. təhlükəsizlik siyasətində.
Mənbə: 3dnews.ru