Microsoft się poddał: jednak będą aktualizacje dla Windows XP

Po wielu przekładanych terminach zakończenia wsparcia i mimo niedawnego uśmiercenia niszowego systemu Windows Embedded 2009 POSReady, prace nad Windows XP jednak nie ustały. W ramach comiesięcznego pakietu aktualizacji, znanego pod nieformalną nazwą Patch Tuesday, opublikowano szereg notatek na portalu MSRC firmy Microsoft. Notatki te dotyczą załatanych podatności, zawierają podstawowe szczegóły dotyczące dziur, metody ochrony, charakterystykę aktualizacji (sumy kontrolne, nazwy plików) oraz wycenę CVE.

Publikowane są również wszelkie materiały dodatkowe i uzupełniające, które można porównać do praktyki „Release Notes”. Wśród takich właśnie dokumentów dodatkowych, w majowej porcji notatek znajduje się uroczy artykuł zatytułowany „Customer guidance for CVE-2019-0708 | Remote Desktop Services Remote Code Execution Vulnerability: May 14, 2019”. Kryją się pod nim linki do aktualizacji dla systemu Windows XP i Windows Server 2003. Opublikowanie aktualizacji dla owych kilkunastoletnich produktów umotywowano bardzo wysokim poziomem zagrożenia, jakie stanowi luka CVE-2019-0708.

Istotnie, omawiana podatność, zidentyfikowana w protokole Usług Terminalowych (klasyczna nazwa funkcji Zdalny Pulpit), została w klasyfikacji CVSS wyceniona na oszałamiające 9.8! Problemy takiego kalibru zdarzają się dość rzadko i zazwyczaj dotyczą dziur pozwalających np. na ominięcie uwierzytelnienia i nabycie praw superużytkownika, ucieczkę z maszyny wirtualnej i ominięcie ochrony pamięci. Wycenę 9.8 otrzymał niesławny Shellshock oraz niedawny błąd (regresja w dodatku!) pustego hasła root w systemie Alpine Linux, masowo używanym przez rzędy zagubionych dusz, przekonane o tym, że wszystko dziś powinno być kontenerem (a Docker Hub jest świętszy od Root CA).

Błąd w Usługach Terminalowych Windows dotyczy systemów Windows 7 i Vista (oraz ich wersji serwerowych), ale wg. „tajnego protokołu” MS KB4500705, znajduje się on także w Windows XP i 2003 Server (i zapewne również w Windows 2000). Pozwala on na zdalne wykonanie kodu na maszynie z włączoną usługą pulpitu zdalnego. Nie wymaga on uwierzytelnienia: wystarczy posłać odpowiednio sformułowane żądanie, a maszyna docelowa wykona kod z uprawnieniami usługi termsvcs.

Nie wiadomo obecnie o żadnych przypadkach wykorzystywania owej podatności w Sieci, ale problemy o takiej specyfice przywodzą na myśl najmroczniejsze czasy w historii bezpieczeństwa systemów Microsoftu, czyli początek XXI wiek, zanim wdrożono pryncypia Trustworthy Computing. To wtedy w internecie szalały robaki Blaster, Sasser i MyDoom, które do swojej żywiołowej propagacji wymagały jedynie słuchającej usługi. CVE-2019-0708 bezsprzecznie wykazuje właśnie taką naturę, ale w ciągu ostatnich piętnastu lat natura robaków sieciowych uległa nieprzyjemnej ewolucji

Dziś musimy się liczyć z epidemiami typu WannaCry, dostarczającymi jako swój payload oprogramowanie szyfrujące i żądające okupu (ransomware). WannaCry eksplodowało swą niesławą ze względu na dużą liczbę komputerów z systemem Windows XP. Łatkę dla owej słabości (częściową) wydano już wcześniej, ale urządzenia na masową skalę pozostały niezałatane. Tu mamy do czynienia z dziurą, na którą dotychczas nie było łatki. Stare Windows XP nie pobiorą jej automatycznie, bo nie wydano jej przez Windows Update, ale praktyka dowodzi, że XP i tak nie były łatane. Tymczasem problem ze zdalnym pulpitem dotyczy również Windows 7! Kilka sprzyjających okoliczności wystarczy do tego, by niedługo wybuchła nowa epidemia.

Podatność, co ciekawe, nie otrzymała jeszcze żadnej chwytliwej i modnej nazwy, jak wiele dziur na przestrzeni ostatnich lat. Aby się przed nią uchronić na systemie Windows 7, należy zainstalować aktualizację KB4499164. Zaczęła być już dystrybuowana przez Aktualizacje Automatyczne. Według notatki Microsoftu, system Windows 10 nie jest podatny. Notatka jest jednak miernej jakości. To częste w wersjach 1.0 dokumentów o podatnościach, ale stwierdzenie, że „nie istnieją czynniki ograniczające” padające w tekście, jest jednak nieco chybione. Wyłączenie usługi RDP wszelako chyba do takich należy...

Warto też pamiętać, że złośliwe żądanie musi pochodzić z sieci i być skierowane na port RDP. Trudno wykorzystać tę dziurę z internetu w większości domowych przypadków, gdzie sieć kilku kontrolowanych urządzeń działa za NAT-em routera dostarczanego przez dostawcę ISP. Niemniej, podatność występuje i lepiej ją załatać, niż zakładać słuszność bezgranicznego zaufania względem domowej elektroniki.