Strzał w Dziesiątkę: nowa dziura w Windows. Tak poważna, jak tylko się da

Portal ogłoszeń o aktualizacjach grupy Microsoft Security Response Center (MSRC) działa dziś bardzo powoli i często uniemożliwia przejrzenie notatek opublikowanych właśnie w ramach Łatkowego Wtorku dla lipca 2020. Dzieje się tak zapewne dlatego, że załatana najnowszym pakietem aktualizacji dziura jest bardzo poważna. Na skali CVSS otrzymała maksymalne 10 punktów, co zdarza się bardzo rzadko. W MSRC trwa zatem coś na kształt wielkiego święta, ale z przeciwnym zwrotem.

Ocena CVSS 10 oznacza, w dużym skrócie, że oprogramowanie zawiera dziurę niewymagającą interakcji użytkownika celem wykorzystania. Zazwyczaj są to dziury w usługach wystawionych domyślnie do internetu. Wystarczy więc, że syste z taką dziurą jest włączony i podpięty do internetu, a prędzej czy później zapuka do niego złośliwe oprogramowanie, umożliwiające (wg. oceny 10) zdalne wykonanie kodu i podniesienie uprawnień.

W przypadku podatności CVE-2020-1350, o której tu mowa, możliwe jest wykonanie kodu z uprawnieniami użytkownika SYSTEM (wbudowana tożsamość "potężniejsza" od Aministratora), a więc najwyższymi. Z takimi prawami, czego nie da się uniknąć, pracuje bowiem program dns.exe, główny składnik roli Serwera DNS w systemie Windows Server. Luki tego typu nazywa się "wormable": nie trzeba nic robić, prędzej czy później system zostanie przejęty przez robaka. W taki sposób rozpowszechniały się epidemie Blastera i Nimdy.

Odkrywcy błędu i autorzy niezwykle drobiazgowego i rzetelnego opracowania, Check Point Research, utrzymują, że luka dotyczy wszystkich wersji Windows Server, zaczynając od 2003. Nie oznacza to, że problem nie jest jeszcze starszy i nie pochodzi z Windows 2000, ale system Windows Server 2003, podobnie jak Windows XP Service Pack 2, zostały skompilowane z flagami ochrony przepływu danych. Innymi słowy, jeżeli problem jest starszy, to wcześniej istniał w jeszcze gorszej postaci i nie warto szukać aż tak głęboko.

O co w ogóle chodzi? Pozornie o problem stary jak świat: przepełnienie bufora. Zanim jednak zaczniemy wieszać psy na Microsofcie za elementarne programistyczne niechlujstwo, należy zwrócić uwagę na to, że problem dotyczy raczej niekonsekwentnej implementacji standardu RFC dla DNS, a nie bezpośrednio złych praktyk programistycznych. Efektywnie oczywiście wychodzi na to samo, bo gdzieś po prostu zabrakło logiki.

Co robić? Otóż nic i to po dwakroć. Po pierwsze, aktualizacja zostanie pobrana automatycznie przez Windows Update. Po drugie, dotyczy serwerów, klienckie wersje Windows nawet, jeżeli posiadają dns.exe, nie korzystają z niego w ramach roli Serwera DNS. Aktualizacja jest dostępna także dla Windows 10, ale wynika to z tego, że Windows 10 i Windows Server to pod spodem ten sam system. Zresztą, aktualizacja łata też parę innych problemów, jak na przykład ucieczka z hipernadzorcy. Czyli klasyczny rok 2020.