Aktar kmieni aħna dwar vulnerabbiltà skoperta ta’ zero-day fl-Internet Explorer, li tippermetti l-użu ta’ fajl MHT ippreparat apposta biex tniżżel informazzjoni mill-kompjuter tal-utent għal server remot. Riċentement, din il-vulnerabbiltà, skoperta mill-ispeċjalista tas-sigurtà John Page, iddeċieda li jiċċekkja u jistudja speċjalista ieħor magħruf f'dan il-qasam - Mitya Kolsek, direttur ta 'ACROS Security, kumpanija tal-awditjar tas-sigurtà, u ko-fundatur tas-servizz micropatch 0patch. Hu kronika sħiħa tal-investigazzjoni tagħha, li tindika li Microsoft issottovalutat b'mod sinifikanti s-severità tal-problema.
B'mod stramb, Kolsek inizjalment ma setax jirriproduċi l-attakk deskritt u muri minn John, fejn uża l-Internet Explorer li jaħdem fuq Windows 7 biex tniżżel u mbagħad tiftaħ fajl MHT malizzjuż. Għalkemm il-maniġer tal-proċess tiegħu wera li system.ini, li kien ippjanat li jinsteraq minnu nnifsu, inqara minn script moħbi fil-fajl MHT, iżda ma ntbagħatx lis-server remot.
"Dan deher qisu sitwazzjoni klassika tal-mark-of-the-Web," jikteb Kolsek. “Meta jiġi riċevut fajl mill-Internet, applikazzjonijiet tal-Windows li jaħdmu sew bħal web browsers u klijenti tal-email żid tikketta ma’ tali fajl fil-forma bl-isem Zone.Identifier li fih is-sekwenza ZoneId = 3. Dan iħalli applikazzjonijiet oħra jafu li l-fajl ġie minn sors mhux affidabbli u għalhekk għandu jinfetaħ f'sandbox jew ambjent ristrett ieħor."
Ir-riċerkatur ivverifika li IE fil-fatt stabbilixxa tali tikketta għall-fajl MHT imniżżel. Kolsek imbagħad ipprova tniżżel l-istess fajl billi juża Edge u jiftaħ f'IE, li tibqa' l-applikazzjoni default għall-fajls MHT. Bla mistenni, l-isfruttament ħadem.
L-ewwel, ir-riċerkatur iċċekkja "mark-of-the-Web", irriżulta li Edge jaħżen ukoll is-sors tal-oriġini tal-fajl fi fluss tad-dejta alternattiv minbarra l-identifikatur tas-sigurtà, li jista 'jqajjem xi mistoqsijiet dwar il-privatezza ta' dan. metodu. Kolsek spekula li l-linji żejda setgħu ħawwdu lil IE u żammewh milli jaqra s-SID, iżda kif jirriżulta, il-problema kienet x'imkien ieħor. Wara analiżi twila, l-ispeċjalista tas-sigurtà sab il-kawża f'żewġ daħliet fil-lista ta 'kontroll ta' aċċess li żied id-dritt li jaqra l-fajl MHT għal ċertu servizz tas-sistema, li Edge żied hemm wara li tgħabbih.
James Foreshaw mit-tim dedikat għall-vulnerabbiltà zero-day - Google Project Zero - tweeted li l-entrati miżjuda minn Edge jirreferu għall-identifikaturi tas-sigurtà tal-grupp għall-pakkett Microsoft.MicrosoftEdge_8wekyb3d8bbwe. Wara li tneħħi t-tieni linja ta 'SID S-1-15-2 - * mil-lista ta' kontroll ta 'aċċess tal-fajl malizzjuż, l-isfruttament ma baqax jaħdem. Bħala riżultat, b'xi mod il-permess miżjud minn Edge ppermetta li l-fajl jevita s-sandbox fl-IE. Kif ssuġġerew Kolsek u l-kollegi tiegħu, Edge juża dawn il-permessi biex jipproteġi fajls imniżżla minn aċċess minn proċessi ta 'fiduċja baxxa billi jmexxi l-fajl f'ambjent parzjalment iżolat.
Sussegwentement, ir-riċerkatur ried jifhem aħjar x'jikkawża s-sistema tas-sigurtà ta 'IE biex tfalli. Analiżi fil-fond bl-użu tal-utilità tal-Proċess Monitor u d-disassembler IDA fl-aħħar mill-aħħar żvelat li r-riżoluzzjoni stabbilita tax-Xifer żammet lill-funzjoni Win Api GetZoneFromAlternateDataStreamEx milli taqra l-fluss tal-fajl Zone.Identifier u rritornat żball. Għall-Internet Explorer, żball bħal dan meta tintalab tikketta ta' sigurtà ta' fajl kien kompletament mhux mistenni, u, apparentement, il-browser qies li l-iżball kien ekwivalenti għall-fatt li l-fajl ma kellux marka "mark-of-the-Web", li awtomatikament jagħmilha fdata, wara għaliex IE ippermetta li l-iskrittura moħbija fil-fajl MHT tesegwixxi u tibgħat il-fajl lokali fil-mira lis-server remot.
"Tara l-ironija hawn?" jistaqsi Kolsek. "Karatteristika ta' sigurtà mhux dokumentata użata minn Edge nnewtralizza karatteristika eżistenti, bla dubju ħafna aktar importanti (mark-of-the-Web) fl-Internet Explorer."
Minkejja s-sinifikat akbar tal-vulnerabbiltà, li tippermetti li skript malizzjuż jitmexxa bħala skript fdat, m'hemm l-ebda indikazzjoni li Microsoft għandha l-intenzjoni li tirranġa l-bug fi kwalunkwe ħin dalwaqt, jekk qatt tissewwa. Għalhekk, aħna xorta nirrakkomandaw li, bħal fl-artikolu preċedenti, inti tibdel il-programm default għall-ftuħ fajls MHT għal kwalunkwe browser modern.
Naturalment, ir-riċerka ta 'Kolsek ma għaddietx mingħajr ftit self-PR. Fl-aħħar tal-artiklu, wera garża żgħira miktuba bil-lingwa tal-assemblaġġ li tista 'tuża s-servizz 0patch żviluppat mill-kumpanija tiegħu. 0patch awtomatikament jiskopri softwer vulnerabbli fuq il-kompjuter tal-utent u japplika irqajja żgħar għalih litteralment fuq il-fly. Per eżempju, fil-każ li ddeskrivejna, 0patch se jissostitwixxi l-messaġġ ta 'żball fil-funzjoni GetZoneFromAlternateDataStreamEx b'valur li jikkorrispondi għal fajl mhux affidabbli riċevut min-netwerk, sabiex IE ma jippermettix li xi skripts moħbija jiġu eżegwiti skond il-built- fil-politika tas-sigurtà.
Sors: 3dnews.ru