सुरक्षा सप्ताह 21: विंडोज प्रिंट सेवा भेद्यता

पिछले हफ्ते सबसे दिलचस्प खबर माइक्रोसॉफ्ट ऑपरेटिंग सिस्टम और सॉफ्टवेयर (एक समीक्षा लेख ) के लिए अगले सर्विस पैक के हिस्से के रूप में आई । कुल मिलाकर, डेवलपर्स ने 111 कमजोरियों को बंद कर दिया, जिनमें से 16 गंभीर हैं। पिछले संचयी अद्यतन के विपरीत, पैच जारी होने तक एक भी बग का दोहन नहीं किया गया था। Windows प्रिंट सेवा में

भेद्यता CVE-2020-1048 ( Microsoft वेबसाइट पर वर्णन , Habré पर चर्चा ) (अधिक सटीक रूप से, Windows प्रिंट स्पूलर मॉड्यूल में ) खतरे की डिग्री से नहीं, बल्कि इसके इतिहास से पता चलता है। यह कोड के एक प्राचीन टुकड़े में पाया गया था, जो, जाहिरा तौर पर, विंडोज एनटी 4 के बाद से अपडेट नहीं किया गया है।

समस्या का औपचारिक विवरण निम्नानुसार है: प्रिंट स्पूलर में भेद्यता एक स्थानीय उपयोगकर्ता को विशेषाधिकारों को बढ़ाने की अनुमति देती है, क्योंकि यह फ़ाइल सिस्टम को यादृच्छिक पहुँच प्रदान करता है। पिछले मंगलवार, 12 मई को, शोधकर्ताओं ने एलेक्स आयनस्कु और यार्डेन शफिर ने समस्या का विस्तृत विवरण प्रकाशित किया । सरल शब्दों में, CVE-2020-1048 को लेख के अंत में तैयार किया गया है: यह एक अविश्वसनीय रूप से आसान उपयोग वाला बग है - आप पावरशेल में सिर्फ एक-दो कमांड के साथ एक सिस्टम पर "हमला" कर सकते हैं। और यह सब नहीं है: अध्ययन हमें फैक्स (!) और औद्योगिक हमले स्टक्सनेट भेजने के लिए और भी अधिक अप्रचलित कोड भेजता है।

प्रकाशन प्रिंट स्पूलर के संचालन के तंत्र का विस्तार से वर्णन करता है - एक प्रणाली जो मुद्रण दस्तावेजों और प्रबंध प्रिंटर दोनों के लिए जिम्मेदार है। यह स्थानीय और नेटवर्क प्रिंटिंग डिवाइस के साथ काम कर सकता है, और एक फाइल पर प्रिंटिंग का भी समर्थन करता है। आखिरी विधि को लेख में विस्तार से वर्णित किया गया है, जिसमें पॉवरशेल में एक कमांड के माध्यम से वर्चुअल प्रिंटर जोड़ने के लिए तंत्र शामिल है। इस परिणाम के साथ:

अंत में, यह सब ऊपर के ट्वीट से जादू टीम को पेश करने के लिए नीचे आता है। विंडोज ने "गंतव्य" की वैधता की जांच नहीं की, जिससे सिस्टम फ़ाइल में रिकॉर्ड के साथ "प्रिंटर" बनाना संभव हो गया, इस मामले में, ualapi.dll पुस्तकालय। यह इस तरह के "प्रिंटर" में एक मनमाना निष्पादन योग्य इनपुट "प्रिंट" करने के लिए पर्याप्त है, और आपको सिस्टम पर पूर्ण नियंत्रण मिलता है। पैच में, Microsoft डेवलपर्स ने प्रिंट पोर्ट सत्यापन जोड़ा। अधिक सटीक रूप से, यह उससे पहले अस्तित्व में था, लेकिन यह केवल तब काम करता था जब प्रिंट स्पूलर के साथ काम करने के लिए टूल का उपयोग ग्राफिकल इंटरफ़ेस के माध्यम से किया जाता था (विंडोज इंटर्नल की एक जांच इस तरह के उपकरण बनाने का प्रयास दिखाती है)। हालांकि, यह कमांड लाइन से काम करते समय काम नहीं करता था।

इस अध्ययन की एक पृष्ठभूमि है: 30 अप्रैल की शुरुआत में, Ionescu और Shafir प्रकाशितइसी तरह के हमले के बारे में एक लेख, लेकिन फैक्स सेवा के माध्यम से (क्या आपको याद है कि यह क्या है? नहीं? और विंडोज अभी भी उनका समर्थन करता है!)। उस समय, शोधकर्ताओं को पहले से ही प्रिंट स्पूलर में भेद्यता का पता था, लेकिन पैच के रिलीज के लिए इंतजार करना पड़ा। इसलिए, पहले प्रकाशन को अध्ययन के दूसरे भाग को कॉल करने के लिए अतार्किक होना पड़ा, और कुछ हफ्तों में पहले प्रकाशित करने के लिए।

2010 में, विंडोज प्रिंटिंग सिस्टम में एक समान भेद्यता को बंद कर दिया गया था : फ़ाइल में डेटा के "मुद्रण" के मनमाने ढंग से सिस्टम में विशेषाधिकार वृद्धि। समस्या को स्टक्सनेट साइबर हमले के हिस्से के रूप में शोषण किया गया और लक्ष्य प्रणाली को ठीक करने के लिए टूलबॉक्स में जोड़ा गया। दरअसल, हमने अध्ययन के दौरान इसका पता लगायागलत मंशा वाला कोड। 10 साल पहले की एक घटना के परिणामस्वरूप, प्रिंट स्पूलर की रक्षा को मजबूत किया गया था, लेकिन, जैसा कि अब स्पष्ट है, पर्याप्त नहीं है।

सोफोस ने रैंसमवेयर द्वारा साइबर हमलों के बारे में व्यवसायों का साक्षात्कार किया है। ऐसी घटनाओं से होने वाले नुकसान की औसत राशि 730 हजार डॉलर थी - लेकिन यह है यदि आप फिरौती का भुगतान नहीं करते हैं, लेकिन बैकअप से डेटा की एक प्रति प्राप्त करें और अन्य तरीकों से बुनियादी ढांचे को बहाल करें।

सबसे दिलचस्प बात यह है कि पटाखे की आवश्यकताओं का अनुपालन करने वालों में औसत क्षति 1.4 मिलियन डॉलर से दोगुनी है। भाग में, यह "अस्पताल में औसत तापमान" है, क्योंकि सक्षम संरक्षण और आरक्षण गंभीरता से बचा सकता है। लेकिन साइबर अपराधियों को भुगतान न करने के लिए यह एक और तर्क है, जिसमें डबल जबरन वसूली के कई उदाहरणों के अलावा, जब वे पहले डेटा को डिक्रिप्ट करने के लिए पैसे की मांग करते हैं, और फिर इसे वितरित नहीं करने के लिए।

Microsoft DNS-over-HTTPS का उपयोग करके DNS एन्क्रिप्शन का परीक्षण कर रहा है। विंडोज 10 इनसाइडर प्रीव्यू बिल्ड 19628 में फ़ीचर उपलब्ध है ।

फ़ेसबुक के प्रतिनिधियों ने फ़ेसबुक के साथ जारी सेवा में बग का पता लगाने के लिए $ 20 हज़ार का भुगतान किया । यह आपको सोशल नेटवर्क पर एक खाते के माध्यम से तीसरे पक्ष के संसाधनों में प्रवेश करने की अनुमति देता है। शोधकर्ता विनोत कुमार ने पाया कि Facebook के साथ काम करने के लिए Facebook सर्वर से जावास्क्रिप्ट कोड का उपयोग करता है, जिसे प्रतिस्थापित किया जा सकता है, जो आपको साइट आगंतुक के खाते को हाईजैक करने की अनुमति देता है। भेद्यता में पाया पृष्ठ बिल्डर

प्लगइन Wordpress के लिए। सिद्धांत रूप में, एक लाख वेबसाइटें इसके अधीन होती हैं; त्रुटि एक ब्राउज़र में दुर्भावनापूर्ण कोड को निष्पादित करके एक Wordpress व्यवस्थापक खाते पर हमला करने की अनुमति देती है।