Undocumented Edge ფუნქცია არღვევს Internet Explorer-ის უსაფრთხოებას

ადრე ჩვენ უკვე დაწერილი Internet Explorer-ში აღმოჩენილი ნულოვანი დღის დაუცველობის შესახებ, რომელიც საშუალებას გაძლევთ გამოიყენოთ სპეციალურად მომზადებული MHT ფაილი მომხმარებლის კომპიუტერიდან ინფორმაციის დისტანციურ სერვერზე ჩამოსატვირთად. ცოტა ხნის წინ, უსაფრთხოების სპეციალისტმა ჯონ პეიჯმა აღმოაჩინა ეს დაუცველობა, გადაწყვიტა შეემოწმებინა და შეესწავლა ამ სფეროში კიდევ ერთი ცნობილი სპეციალისტი - მიტია კოლსეკი, უსაფრთხოების აუდიტის კომპანიის ACROS Security-ს დირექტორი და micropatch სერვისის 0patch-ის თანადამფუძნებელი. ის გამოქვეყნებული მისი გამოძიების სრული ქრონიკა, რომელიც მიუთითებს იმაზე, რომ მაიკროსოფტმა მნიშვნელოვნად შეაფასა პრობლემის სიმძიმე.

უცნაურია, მაგრამ კოლსეკმა თავდაპირველად ვერ შეძლო ჯონის მიერ აღწერილი და დემონსტრირებული თავდასხმის რეპროდუცირება, სადაც მან გამოიყენა Windows 7-ზე გაშვებული Internet Explorer, რომ ჩამოტვირთა და შემდეგ გაეხსნა მავნე MHT ფაილი. მიუხედავად იმისა, რომ მისმა პროცესების მენეჯერმა აჩვენა, რომ system.ini, რომლის მოპარვაც თავად იყო დაგეგმილი, წაიკითხა MHT ფაილში დამალული სკრიპტი, მაგრამ არ იყო გაგზავნილი დისტანციურ სერვერზე.

"ეს ჰგავდა კლასიკურ აბსოლუტურ სიტუაციას", წერს კოლსეკი. „როდესაც ფაილი მიიღება ინტერნეტიდან, Windows-ის აპლიკაციები, როგორიცაა ვებ ბრაუზერები და ელ.ფოსტის კლიენტები სწორად გაშვებული, ამატებს ლეიბლს ამ ფაილს ამ ფორმით. მონაცემთა ალტერნატიული ნაკადი სახელწოდებით Zone.Identifier, რომელიც შეიცავს სტრიქონს ZoneId = 3. ეს აცნობებს სხვა აპლიკაციებს, რომ ფაილი მოვიდა არასანდო წყაროდან და, შესაბამისად, უნდა გაიხსნას sandbox-ში ან სხვა შეზღუდულ გარემოში."

მკვლევარმა დაადასტურა, რომ IE-მ მართლაც დააწესა ასეთი ლეიბლი გადმოწერილი MHT ფაილისთვის. შემდეგ კოლსეკმა სცადა იგივე ფაილის ჩამოტვირთვა Edge-ის გამოყენებით და გახსნა IE-ში, რომელიც რჩება ნაგულისხმევ აპლიკაციად MHT ფაილებისთვის. მოულოდნელად, ექსპლუატმა იმუშავა.

პირველ რიგში, მკვლევარმა შეამოწმა "mark-of-the-Web", აღმოჩნდა, რომ Edge ასევე ინახავს ფაილის წარმოშობის წყაროს ალტერნატიულ მონაცემთა ნაკადში, უსაფრთხოების იდენტიფიკატორის გარდა, რამაც შეიძლება გამოიწვიოს გარკვეული კითხვები ამის კონფიდენციალურობასთან დაკავშირებით. მეთოდი. კოლსეკმა ივარაუდა, რომ დამატებითმა ხაზებმა შესაძლოა აირია IE და ხელი შეუშალა მას SID-ის წაკითხვაში, მაგრამ როგორც ირკვევა, პრობლემა სხვაგან იყო. ხანგრძლივი ანალიზის შემდეგ, უსაფრთხოების სპეციალისტმა აღმოაჩინა მიზეზი წვდომის კონტროლის სიაში ორ ჩანაწერში, რამაც დაამატა MHT ფაილის წაკითხვის უფლება გარკვეულ სისტემურ სერვისზე, რომელიც Edge-მ დაამატა იქ ჩატვირთვის შემდეგ.

ჯეიმს ფორეშოუ ნულოვანი დღის დაუცველობის ჯგუფიდან - Google Project Zero - შესთავაზა ტვიტერში დაწერა, რომ Edge-ის მიერ დამატებული ჩანაწერები ეხება Microsoft.MicrosoftEdge_8wekyb3d8bbwe პაკეტის უსაფრთხოების ჯგუფის იდენტიფიკატორებს. SID S-1-15-2 - *-ის მეორე ხაზის ამოღების შემდეგ მავნე ფაილის წვდომის კონტროლის სიიდან, ექსპლოიტი აღარ მუშაობდა. შედეგად, რატომღაც Edge-ის მიერ დამატებულმა ნებართვამ ფაილს საშუალება მისცა გვერდის ავლით Sandbox IE-ში. როგორც კოლსეკი და მისი კოლეგები ვარაუდობდნენ, Edge იყენებს ამ ნებართვებს, რათა დაიცვას ჩამოტვირთული ფაილები წვდომისგან დაბალი სანდო პროცესებით, ფაილის ნაწილობრივ იზოლირებულ გარემოში გაშვებით.

შემდეგ მკვლევარს სურდა უკეთ გაეგო, თუ რა იწვევს IE-ს უსაფრთხოების სისტემის მარცხს. სიღრმისეული ანალიზის გამოყენებით Process Monitor უტილიტა და IDA disassembler საბოლოოდ გამოვლინდა, რომ Edge-ის კომპლექტის გარჩევადობამ შეუშალა Win Api ფუნქცია GetZoneFromAlternateDataStreamEx წაიკითხა Zone.Identifier ფაილის ნაკადი და დააბრუნა შეცდომა. Internet Explorer-ისთვის, ფაილის უსაფრთხოების ეტიკეტის მოთხოვნისას ასეთი შეცდომა სრულიად მოულოდნელი იყო და, როგორც ჩანს, ბრაუზერმა ჩათვალა, რომ შეცდომა იყო იმის ტოლფასი, რომ ფაილს არ გააჩნდა ნიშანი „ვებ-ნიშანი“. რაც ავტომატურად ხდის მას სანდოს, ამის შემდეგ რატომ დაუშვა IE-მ MHT ფაილში დამალული სკრიპტის შესრულება და სამიზნე ლოკალური ფაილი დისტანციურ სერვერზე გაგზავნა.

”ხედავთ აქ ირონიას?” ეკითხება კოლსეკი. "Edge-ის მიერ გამოყენებული უსაფრთხოების დაუსაბუთებელმა ფუნქციამ გაანეიტრალა Internet Explorer-ის არსებული, უდავოდ ბევრად უფრო მნიშვნელოვანი (ვებ-ნიშანი) ფუნქცია." 

მიუხედავად დაუცველობის გაზრდილი მნიშვნელობისა, რომელიც მავნე სკრიპტის სანდო სკრიპტის სახით გაშვების საშუალებას იძლევა, არ არსებობს მითითება, რომ Microsoft აპირებს შეცდომის გამოსწორებას უახლოეს მომავალში, თუ ის ოდესმე გამოსწორდება. ამიტომ, ჩვენ კვლავ გირჩევთ, რომ, როგორც წინა სტატიაში, შეცვალოთ MHT ფაილების გახსნის ნაგულისხმევი პროგრამა ნებისმიერ თანამედროვე ბრაუზერში.

რასაკვირველია, კოლსეკის კვლევამ მცირე თვითპიარის გარეშე არ ჩაიარა. სტატიის ბოლოს მან აჩვენა ასამბლეის ენაზე დაწერილი პატარა პაჩი, რომელსაც შეუძლია გამოიყენოს მისი კომპანიის მიერ შემუშავებული 0patch სერვისი. 0patch ავტომატურად ამოიცნობს დაუცველ პროგრამულ უზრუნველყოფას მომხმარებლის კომპიუტერზე და ავრცელებს მას მცირე პატჩებს სიტყვასიტყვით. მაგალითად, ჩვენ აღწერილ შემთხვევაში, 0patch ჩაანაცვლებს შეცდომის შეტყობინებას GetZoneFromAlternateDataStreamEx ფუნქციით ქსელიდან მიღებული არასანდო ფაილის შესაბამისი მნიშვნელობით, ასე რომ IE არ დაუშვებს რაიმე ფარული სკრიპტის შესრულებას ჩაშენებულის შესაბამისად. უსაფრთხოების პოლიტიკაში.

წყარო: 3dnews.ru