Łatkowy Wtorek kwietnia: czy warto się spieszyć z aktualizacją Windows?

Zestaw aktualizacji krytycznych dla Windows zawiera w tym miesiącu kilka łatek błędy w komponencie obecnym (i dziurawym) we wszystkich wersjach Windows. Mowa o mechanizmie RPC, podstawowej metodzie przetwarzania rozproszonego w Windows. DCOM/RPC stanowi rdzeń funkcjonalny cech szczególnych dla systemu NT. Nie jest to najważniejsze dziś API, ale mimo upływu lat, nie da się mieć Windowsa bez niego. Dziury w RPC są zazwyczaj poważne i dostępne zdalnie, przez sieć.

Podatności o numerach od CVE-2021-28354 do CVE-2021-28358 opisują możliwość zdalnego wykonania kodu i zdobycia uprawnień administracyjnych przez atakującego z sieci. Użytkownik nie musi wykonywać żadnych czynności, otwierać złośliwych wiadomości ani klikać spreparowanych linków. Słabość nie została wyceniona na 10 a na 8.8, więc istnieją jakieś "okoliczności łagodzące", np. zapora.

Nieznane są, póki co, szczegóły podatności. Potwierdzono występowanie problemu, ale dowód nie został póki co przekształcony w eksploit. Dzięki temu Microsoft zdążył opracować łatki zanim ktokolwiek (znany) rozpoczął wykorzystywanie dziury. Aktualizacje wydano dla każdej wersji systemu aż do Windows Server 2008, czyli najstarszej wersji objętej obsługą techniczną. Oznacza to obecność dziury od co najmniej piętnastu lat. Każe to domniemywać, że problem znajduje się w podstawowej implementacji RPC i prawdopodobnie jest jeszcze starszy.

Być może szczegółami podzieli się Yuki Chen. Nazwisko to pojawia się w sekcji Podziękowań w każdej z notatek dotyczących RPC, a także kilku innych. Yuki Chen zdobywa nagrody za wykrywanie poważnych podatności w komponentach Windows już od lat. I nie pierwszy raz chodzi tu o RPC.

Windows Update pobierze i zainstaluje aktualizacje automatycznie. Nie wykryto jeszcze żadnych ataków wykorzystujących nową podatność w RPC, więc nie trwa jeszcze wyścig z czasem, ale oczywiście nie ma sensu zwlekać. I tak, w tym miesiącu Microsoft znowu wydał aktualizacje dla Office 2010, pięć miesięcy po zakończeniu wsparcia.