Kwietniowe biuletyny Microsoftu: ucieczka z Hyper-V i zdalne uruchamianie kodu

Załatane w kwietniu błędy w oprogramowaniu Microsoftu zmieściłysię w 13 biuletynach bezpieczeństwa. W sumie jest jak zwykle, lukiw Internet Explorerze, Office, Windowsie... ale jest wśród nichluka znacznie bardziej spektakularna, a dotykająca tych, którzyutrzymują serwery na Windowsie. Maszyny wirtualne działające nahoście z Hyper-V mogły otóż uzyskać dostęp do zasobówsprzętowych systemu-gospodarza.

Wspomniany błąd został ujęty w biuletynie MS16-045.Określony zaledwie jako „ważny”, wydaje się jednak krytycznym.Szczegółów nie ujawniono, ale możliwość ominięcia izolacjizapewnianej przez wirtualizację na systemach od Windows 8.1 poWindows Server 2012 R2, otwierająca drogę do zdalnego uruchomieniakodu na hoście, a nawet podejrzenia zawartości innych maszynwirtualnych brzmi niezbyt miło.

Pozostałe błędy są już bardziej standardowe. Sześć luk wprzeglądarce, w tym dotyczących możliwości zdalnego uruchamianiakodu przez złośliwe strony internetowe, zostało ujętych wbiuletynach MS16-037(dla Internet Explorera) i MS16-038(dla Microsoft Edge). Patrząc po tym, jak wiele biuletynów dla IEzostaje powtórzonych następnie dla Edge'a można sądzić, że obieprzeglądarki zbyt mało jednak dzieli.

MS16-039przynosi łatkę do luki pozwalające na zdalne uruchamianie kodu wWindowsie, .NET Frameworku, Microsoft Office, kliencie Skype forBusiness i Microsoft Lyncu. Ponownie problem dotyczy uzłośliwionychfontów, które mogłyby być osadzone w dokumencie lub na stronieinternetowej. Ciekawie wygląda też MS16-040.Tutaj błąd w systemowym komponencie XML Core Services pozwala naprzejęcie kontroli nad zaatakowaną maszyną. Wystarczy kliknąćlinka przesłanego w e-mailu czy wiadomości błyskawicznej.

MS16-041dotyczy błędu w .NET Frameworku, otwierającym drogę do zdalnejinstalacji i uruchomienia oprogramowania na komputerze ofiary. Naszczęście napastnik musi mieć w systemie już wcześniej założonekonto. MS16-042wiąże się z błędami obsługi pamięci w pakiecie Office. Jeśliużytkownika Office nakłonicie do otworzenia spreparowanychdokumentów, to być może uda się zdalnie uruchomić u niegozłośliwy kod. Analogiczny błąd znajdziemy w Windows OLE(MS16-044)– i tu możliwe jest zdalne uruchomienie złośliwego kodu poprzezpodesłanie ofierze spreparowanego pliku lub nakłonienie jej dowejścia na zainfekowaną stronę internetową.

Uruchomionemu zdalnie złośliwemu oprogramowaniu można nadaćlepsze uprawnienia, np. administratora, za sprawą załatanego wbiuletynie MS16-046błędu w Windows Secondary Logon. Z kolei MS16-047opisuje atak man-in-the-middle na komponenty Windows Security AccountManager oraz Local Security Authority Domain, pozwalający naobniżenie poziomu zabezpieczeń i podszycie się pod użytkownikaprzez napastnika, który może monitorować ruch sieciowy.

Pozostałe biuletyny to MS16-048dotyczący błędu obsługi pamięci w komponencie Windows CSRSS,pozwalającego uzyskać dostęp administracyjny, MS16-049,umożliwiającego łatwe ataki DoS na maszyny z systemami Microsoftu(by zamrozić „okienka” wystarczy wysłać spreparowany pakietHTTP), oraz MS16-050,który jest zbiorem łatek dostarczonych przez Adobe do FlashPlayera.

Na koniec dość zabawna sprawa, którą być może ktoś kiedyśzmilitaryzuje. Okazuje się, że niektóre bezprzewodowe myszkiMicrosoftu mogą zadziałać jako klawiatury. Wystarczy wstrzyknąćw ich komunikację z komputerem odpowiednie pakiety, rozpoznawanejako naciśnięcia klawiszy. Na systemach z zablokowanymiklawiaturami otwiera to drogę do rozmaitych ciekawych ingerencji wsystem. Więcej na ten temat w poradzie bezpieczeństwa 3152550.