پویا جعفری — فلسفه علم در فناوری های نوین

Patch موقتی برای  یک آسیب پذیری از نوع ZERODAY برای بالا بردن سطح دسترسی ها در ویندوز ۱۰ اخیرا بیرون آمده.این patch از طریق پلتفرم opatch  قابل دریافت است و بدون نیاز به reboot شدن قابل نصب است.

exploit کد این روش نفوذ ZERO-DAY موجود است وتوسط یک محقق به نام SandBoxEscaper منتشر شده او این آسیب پذیری را BearLPE نام گذاری کرده  که Task Scheduler در ویندوز ۱۰ را هدف قرار میدهد وتقریبا ده روز پیش شناسایی شده.

مهاجم با استفاده از این bug به سیستم مورد نظرش نفوذ می کند وبعد می تواند به فایل های کاربران بامجوز دسترسی بالاتر مثل system  ویا trustedinstaller دست یابد.

به گفته Will Dormann یک کارشناس تحلیل گر آسیب پذیری ها در موسسه CERT/CC  این exploit صد در صد روی سیستم های x86 درست کار میکند ودر مورد سیستم های ۶۴ بینی نیاز به دوباره کامپایل شدن دارد.

موسس opatch توضیح می دهد که ریشه این مشکل در پشتیبانی سنتی task file  هاست که می توانند از یک سیستم قدیمی به جدید منتقل شوند.وقتی شما فایل schtasks.exe مربوط به ویندوز xp را در ویندوز ۱۰ اجرا میکنید function های RPC فراخوانی می شوند که در ادامه function های جدید را فراخوانی میکنند مثل SchRpcSetSecurity. در ادامه کد taskcomp.dll در نقش Local System اجرا می شود وفراخواننده آن فرد مهاجم است ولی قبل از فراخوانی SchRpcSetSecurity  خود رابهفراخواننده معرفی نمیکند تا  SetRestorePrivilege را فعال کند که برای تغییر سطح  دسترسی ها ضروری است.

نتیجه این است که درخواست ازسمت یک کاربر محدود صادر نمی شود بلکه از سمت Local System صادر می شود که سطح دسترسی بالایی دارد ومی تواند فایل های حساس را کنترل کند.

میکروپچ ارائه شده دستورالعمل های اصلاحی در حافظه اجرا میکند واز تغییر مجوز های فایل های سیستم که یک کاربر نرمال به آن دسترسی دارد جلوگیری میکند.برای دستیابی به micropatch ارائه شده باید در opatch ثبت نام کنید و patch agent را نصب کنید.در حال حاضر این پچ برای ویندوز ۱۰ v1809  ۳۲bit ویندوز ۱۰ ۶۴bit v1809 و ویندوز server 2019 در دسترس است ودر آینده برای بقیه نسخه ها نیز در دسترس خواهد بود.