18 lat to za mało: dziura w Windowsie wciąż groźna dla milionów komputerów

Wszystkie wersje systemu Windows, ale i części oprogramowania firm trzecich są narażone na atak i możliwość wykradnięcia hasła użytkownika. Wszystko za sprawą luki w protokole SMB, której Microsoft nie załatał w odpowiedni sposób. Warto dodać, że wspomniana luka została odkryta 18 lat temu. Czy to naprawdę czas zbyt krótki, na wprowadzenie odpowiedniej poprawki?

Problem pojawił się w 1997 roku, kiedy to Aaron Spangler odkrył bardzo poważny błąd w protokole SMB pozwalający na wykradanie danych logowania użytkowników systemu Windows – wtedy wystarczyło przekazać ofierze odpowiedni link do szkodliwego serwera SMB, a system automatycznie próbował się na nim uwierzytelnić. Co prawda Microsoft wydał wtedy stosowną poprawkę, ale nigdy nie była ona kompletna. Usuwała tylko bezpośrednie zagrożenie, o czym przekonali się pracownicy firmy Cylance, którym lukę udało się wykorzystać ponownie. W jaki sposób? Wystarczy posłużyć się pośrednikiem, w jakiś sposób przekierować użytkownika do SMB, aby atak był znów możliwy. Dlatego właśnie zagrożenie nazwano „Redirect to SMB”.

Odkrycia dokonano badając atak na aplikację do obsługi czatu, która wyświetla podgląd przysłanych przez użytkowników obrazków. Zmiana adresu obrazka i przekierowanie go do szkodliwego serwera SMB doprowadziła do tego, że system znów próbował się uwierzytelnić. Wystarczy więc przekierowanie o kodzie 301 (stałe) lub 302 (tymczasowe), aby oszukać łatkę naniesioną przez Microsoft. Na atak podatne jest nie tylko oprogramowanie Microsoftu, ale także wiele aplikacji trzecich, które korzystają z niezabezpieczonych bibliotek. Raport Cylance mówi o przynajmniej 31 firmach i ich produktach: Adobe Readerze, Apple QuickTime, pakietach ochronnych Norton, AVG, BitDefender i Comodo, a także TemaViewerze, kliencie GitHub dla Windowsa czy pakiecie PHP Storm.

Według Microsoftu sprawa nie jest poważna, bo ryzyko ataku jest bardzo niewielkie. Nie zależy od użytkownika i jego brak wiedzy w kwestii bezpieczeństwa niczego tutaj nie zmienia – kliknięcie spreparowanego linku ma nie przynosić oczekiwanych rezultatów. Ze stanowiskiem tym nie zgadzają się pracownicy Cylance, nie bez powodu zresztą: ich badanie pokazało, że wystarczy spreparowany link ukryć w dokumencie z obrazkiem, można także wykorzystać atak man-in-the-middle. Zagrożone są więc miliony komputerów na całym świecie, a co gorsza, za wiele zrobić nie można. Trzeba czekać na aktualizacje oprogramowania, a do tego czasu jedynym środkiem zapobiegawczym jest zablokowanie portów 139 i 445 dla ruchu TCP w sieciach zewnętrznych (niestety może to uderzyć w funkcjonalność SMB), albo korzystanie z innego systemu operacyjnego.

Oczywiście dane wysyłane przez komputery ofiary są zabezpieczone, ale wykorzystują przestarzałe algorytmy hashowania i atakujący może je uzyskać przy pomocy pracy GPU w mniej niż pół dnia. Według Cylance zastosowanie lepszych algorytmów byłoby tylko połowicznym rozwiązaniem – najlepiej w poprawce wyłączyć automatyczne uwierzytelnianie na niezaufanych serwerach. Niestety, jak na razie system Windows chce nam za bardzo ułatwić życie, co może doprowadzić do wielu problemów.