Co tym razem? Czyli aktualizacje Windows na Łatkowy Wtorek sierpnia

Jak co miesiąc, Microsoft wydał swój główny pakiet aktualizacji zabezpieczeń. Tym razem obyło się bez spektakularnych "bezdotykowych" dziur pozwalających na zdalne przejęcie maszyny (errata: nieprawda!), jak ostatnio. Zidentyfikowano dwie dziury aktywnie wykorzystywane przez przestępców oraz kilkanaście nowości, o różnym stopniu istotności.

Jak to zazwyczaj bywa, łatane dziury łączą się w zestawy kilkunastu podatności odkrywanych w jednym module. Wynika to ze specyfiki pracy ekspertów, którzy nie szukają dziur "po prostu", a wybierają komponent, w którym usiłują nabrać tymczasowej ekspertyzy. W tym miesiącu, takim składnikiem wydaje się być komponent Windows Backup, w którym wykryto całą litanię podatności.

Notatki CVE-2020-1551, CVE-2020-1542, CVE-2020-1543, CVE-2020-1540, CVE-2020-1541, CVE-2020-1544, CVE-2020-1547, CVE-2020-1534 wszystkie dotyczą tego samego składnika, jakim jest Windows Backup. Wszystkie je zgłosiła ta sama osoba, czyli Yuki Chen. Podatności wyceniono na 7.8. Osoba zalogowana/zdolna do wykonania kodu na maszynie z usługą Windows Backup jest w stanie dokonać podniesienia swoich uprawnień za pomocą nadużycia usługi kopii zapasowych.

Pozostałe podatności dotyczą szeregu niepowiązanych ze sobą komponentów. Sa na przykład problemy z DNS, tym razem po stronie klienckiej, również pozwalające na podbicie uprawnień. Są też cztery mniejsze problemy z jądrem Windows, związane z wyciekiem informacji. Przypomniano sobie także o usługach SSDP i UPNP (CVE-2020-1579, CVE-2020-1538, CVE-2020-1519), które ponownie okazały się podatne na podniesienie uprawnień. Tutaj ponownie odkrywcami byli Chińczycy.

Zawsze ciekawą lekturą są wszystkie dziury dostępne poprzez "hakowanie obrazkiem", tym razem podatności w bibliotece kodeków umożliwiały wykonanie kodu za pomocą podstawienia specjalnie opracowanego obrazka (CVE-2020-1560, CVE-2020-1574). Tym odkryciem może się poszczysić Trend Micro.

Anonimowy odkrywca opracował z kolei metodę lokalnego podniesienia uprawnień za pomocą nadużyć w przeklętym podsystemie GDI (CVE-2020-1480), ale tylko z Windows 10 w wersjach nowszych niż 1703. Podbicie praw jest możliwe także wskutek dziur w telemetrii Windows 10, gdzie usługi telemetryczne można zmusić do wykonania kodu na swoich prawach.

Sierpniowe luki typu zero-day są wybitnie mało widowiskowe. Pierwsza z nich dotyczy możliwości ominięcia podpisów cyfrowych i uruchomienia niezaufanego kodu (CVE-2020-1464) we wszystkich obsługiwanych wersjach Windows, druga z nich to z kolei możliwość wyskoczenia z przeglądarki Internet Explorer i wykonania kodu z prawami użytkownika. Odkrywcą jest Boris Larin, a dziura dotyczy każdego systemu, gdzie działa Internet Explorer 11.

Odpowiednie aktualizacje już czekają w Windows Update. W przypadku najnowszego Windows 10, będzie to aktualizacja KB4566782. Zidentyfikowano już potencjalny problem z niniejszą łatką: może ona wywoływać problemy z narzędziami wprowadzania znaków IME dla chińskiego i japońskiego. Problem nie jest nowy, aktualizacje wprowadzają go od miesiąca, po prostu nic go jeszcze nie naprawia. To dość zabawne w świetle tego, że większość podatności zgłosili własnie Chińczycy...