Łatkowy Wtorek marca: najdziwniejsze aktualizacje Windows 10

Nadszedł kolejny Łatkowy Wtorek, a wraz z nim dziesiątki aktualizacji do obsługiwanych wersji oprogramowania Microsoftu. Jest wśród nich kilka kwestii pilnych, kilka dziwnych oraz cały stos zwyczajowych problemów z Win32k. W tym miesiącu jednak odpuścimy ich przegląd, a zamiast tego skupimy się nie na najważniejszych, a na najdziwniejszych pozycjach z listy marcowych dziur w zabezpieczeniach.

Oczywiście, najważniejsze łatki tego miesiąca to szereg dziur w implementacji DNS w Windows Server (CVE-2021-26877, mitygowana poprzez wyłączenie dynamicznej aktualizacji stref) oraz naturalnie serwer Exchange/OWA, ale ten załatano już wcześniej. Luka DNS przysporzy nieco pracy administratorom, bowiem w trybie pilnym muszą oni właśnie sprawdzić i załatać DNS, a dziurę wyceniono na 9.8 CVSS. Exchange to oddzielna historia, świat płonie już od kilku dni, tylko jakoś niezbyt to widać.

Pierwszy z problemów wywołujących uśmiech na twarzy to dziura w Asystencie Aktualizacji Windows 10. Ten okropny program o niezwykle mało mówiącym interfejsie i fatalnym instalatorze, okazuje się mieć lukę pozwalającą na podniesienie uprawnień. Nie jest to kwestia pilna, zresztą nie wiadomo dokładnie o co chodzi, ale można podejrzewać że to problem w stylu "ufam bezgranicznie plikowi o tej nazwie, jeżeli tylko leży w miejscu, które lubię".

Gdy ludzie opanują obrzydzenie i zaczną się dokładniej przyglądać Asystentowi oraz Media Creation Tool, takich rzeczy uda się zapewne odnaleźć więcej. Warto przypomnieć tu (i przy każdej innej okazji), że Media Creation Tool nie tylko wymaga praw administratora, ale wymaga bycia zalogowanym interaktywnie jako administrator, co jest klinicznym szaleństwem.

Uwagę przykuwa także dziura w Windows Admin Center. Jest to interaktywny, webowy interfejs do zarządzania serwerem. Docelowo Microsoft będzie próbował pozbyć się narzędzi opartych o konsole MMC i różne własnościowe protokoły komunikacyjne i przejść w pełni na WBEM/WinRM oraz aplikacje działające w przeglądarce. Admin Center jest więc newralgicznym punktem, którego złamanie otwiera nieograniczony dostęp do serwera. Opis dziury CVE-2021-27066 wskazuje na ominięcie uwierzytelniania, ale podobno zagrożenie jest niskie. Ciekawe, jak ma się jedno do drugiego.

Wreszcie, pojawiają się "klasyczne" problemy z podniesieniem uprawnień. Podatność w Dzienniku Zdarzeń obecna w systemach od Visty w górę to jeden z takich typowych problemów istniejących w Windows od zawsze i odkrytych dopiero po kilku dekadach. Podobnie jest z Buforem Wydruku, którego problemy sięgają Windows NT 4.0 (przypominamy: wyłączcie bufor wydruku na kontrolerze domeny!). Ale już takie Raportowanie Błędów Windows (WER) zawiera dziurę wprowadzoną dopiero w wersji 1909. Jak...? Co takiego zmieniło się w WER akurat wtedy? Zagadka.

Na koniec docieramy do prawdziwych dziwolągów. Rzeczy, przy których mruga się trzy razy i przeciera oczy. Office 2010 dalej dostaje aktualizacje. Windows 10 1607 i nowsze, ale jakimś cudem nie Windows 8.1 i 1507, potrafią ominąć zabezpieczenia UEFI, ale tylko w sposób zapewniający wycenę CVSS 6.2 (???). Krytyczna (tak bardzo, jak tylko się da) dziura w Hyper-V pozwalająca na wykonanie kodu po stronie hipernadzorcy, wykorzystuje w tym celu... sterownik systemu plików dla Plan 9. A Windows 10 1803 i nowsze (klient i serwer) mają lukę pozwalają zdalnie wykonać kod z uprawnieniami systemu, przez sieć, z wykorzystaniem parsera czcionek wektorowych OpenType.

Jak. Dlaczego. ¯_(ツ)_/¯