Ocena CVSS 10 oznacza, w dużym skrócie, że oprogramowanie zawiera dziurę niewymagającą interakcji użytkownika celem wykorzystania. Zazwyczaj są to dziury w usługach wystawionych domyślnie do internetu. Wystarczy więc, że syste z taką dziurą jest włączony i podpięty do internetu, a prędzej czy później zapuka do niego złośliwe oprogramowanie, umożliwiające (wg. oceny 10) zdalne wykonanie kodu i podniesienie uprawnień.
Wormable
W przypadku podatności CVE-2020-1350, o której tu mowa, możliwe jest wykonanie kodu z uprawnieniami użytkownika SYSTEM (wbudowana tożsamość "potężniejsza" od Aministratora), a więc najwyższymi. Z takimi prawami, czego nie da się uniknąć, pracuje bowiem program dns.exe, główny składnik roli Serwera DNS w systemie Windows Server. Luki tego typu nazywa się "wormable": nie trzeba nic robić, prędzej czy później system zostanie przejęty przez robaka. W taki sposób rozpowszechniały się epidemie Blastera i Nimdy.
Szczegóły
Odkrywcy błędu i autorzy niezwykle drobiazgowego i rzetelnego opracowania, Check Point Research, utrzymują, że luka dotyczy wszystkich wersji Windows Server, zaczynając od 2003. Nie oznacza to, że problem nie jest jeszcze starszy i nie pochodzi z Windows 2000, ale system Windows Server 2003, podobnie jak Windows XP Service Pack 2, zostały skompilowane z flagami ochrony przepływu danych. Innymi słowy, jeżeli problem jest starszy, to wcześniej istniał w jeszcze gorszej postaci i nie warto szukać aż tak głęboko.
O co w ogóle chodzi? Pozornie o problem stary jak świat: przepełnienie bufora. Zanim jednak zaczniemy wieszać psy na Microsofcie za elementarne programistyczne niechlujstwo, należy zwrócić uwagę na to, że problem dotyczy raczej niekonsekwentnej implementacji standardu RFC dla DNS, a nie bezpośrednio złych praktyk programistycznych. Efektywnie oczywiście wychodzi na to samo, bo gdzieś po prostu zabrakło logiki.
Aktualizacja jest dostępna
Co robić? Otóż nic i to po dwakroć. Po pierwsze, aktualizacja zostanie pobrana automatycznie przez Windows Update. Po drugie, dotyczy serwerów, klienckie wersje Windows nawet, jeżeli posiadają dns.exe, nie korzystają z niego w ramach roli Serwera DNS. Aktualizacja jest dostępna także dla Windows 10, ale wynika to z tego, że Windows 10 i Windows Server to pod spodem ten sam system. Zresztą, aktualizacja łata też parę innych problemów, jak na przykład ucieczka z hipernadzorcy. Czyli klasyczny rok 2020.
