مرکز آپا دانشگاه کردستان

یک هکر اکسپلویت جدید روز صفرم ویندوز را که هنوز پچ نشده است، در توییتر منتشر کرد

یک محقق امنیتی با نام مستعار SandboxEscaper در توییتر، پوک یک آسیب‌پذیری روز صفرم در سیستم‌عامل ویندوز مایکروسافت را منتشر کرد. SandboxEscaper همان محققی است که قبلاً اکسپلویت دو آسیب‌پذیری روز صفرم ویندوز را افشا کرد و تا زمانی که مایکروسافت وصله این آسیب‌پذیری‌ها را منتشر نکرد تمام کاربران سیستم‌عامل ویندوز مایکروسافت نسبت به هکرها آسیب‌پذیر بودند. این آسیب‌پذیری پچ نشده روز صفرم ویندوز که به تازگی منتشر شده است، یک آسیب‌پذیری خواندن فایل دلخواه است که می‌تواند به یک کاربر با کمترین سطح دسترسی یا یک برنامه مخرب اجازه خواندن محتویات و فایل‌هایی در کامپیوتر ویندوزی هدف را بدهد که تنها با دسترسی مدیریتی قابل اجرا هستند. این آسیب‌پذیری روز صفرم در تابع "MsiAdvertiseProduct" ویندوز است که مسئول تولید اسکریپت‌های تبلیغاتی یا تبلیغ یک محصول در کامپیوتر است و نصب‌کننده را قادر می‌سازد تا یک اسکریپت را در رجیستری بنویسد و اطلاعات میانبر آن را برای نمایش یا انتشار محصول مورد نظر استفاده کند. به گفته این محقق، با توجه به اعتباردهی نامناسب، تابع آسیب‌پذیر می‌تواند مورد سوءاستفاده قرار گیرد به شکلی که سرویس نصب را مجبور به ساخت یک کپی از هر فایل با عنوان امتیازات و دسترسی‌های سیستم و خواندن محتوای آن سازد که در نتیجه موجب ایجاد یک آسیب‌پذیری خواندن فایل دلخواه می‌شود. این محقق گفت: این امر حتی بدون بردار شمارش، هنوز هم خبر بدی است، زیرا بسیاری از نرم‌افزارهای مربوط به اسناد مانند مایکروسافت آفیس، در واقع پرونده‌ها را در مکان‌های ایستا نگه می‌دارند که حاوی مسیر کامل و نام اسنادی است که اخیرا باز شده است. بنابراین با خواندن فایل‌هایی مانند این‌ها می‌توان نام فایل‌های اسناد ایجاد شده توسط سایر کاربران را بدست آورد و فایل سیستمی به صورت تار عنکبوتی (یکی از روش‌هایی که خود موتور جستجوی گوگل برای جستجو از آن استفاده می‌کند) می‌تواند جستجو کند و فایل‌های ایجاد شده توسط کاربر را در هر جایی را پیدا کند. بنابراین نداشتن باگ در بردار شمارش نمی‌تواند راهکار خوبی باشد. این سومین بار در چند ماه گذشته است که SandboxEscaper یک آسیب‌پذیری روز صفرم ویندوز را منتشر کرده است. در ماه اکتبر، SandboxEscaper ، پوک یک آسیب‌پذیری افزایش سطح دسترسی را در Microsoft Data Sharing منتشر کرد که به کاربران با دسترسی پایین اجازه می‌داد که فایل‌های مهم سیستمی را از سیستم ویندوز هدف حذف کنند. در اواخر ماه آگوست، این محقق پوک آسیب‌پذیری افزایش سطح دسترسی محلی در Microsoft Task Scheduler را که به علت خطاهای موجود در سرویس Advanced Local Procedure Call (ALPC) بوجود آمده بود را منتشر کرد. مدت کوتاهی پس از انتشار پوک این آسیب‌پذیری روز صفرم و قبل از اینکه مایکروسافت در سپتامبر 2018 بروزرسانی امنیتی را در دسترس عموم قرار دهد، از آن به صورت فعال در محیط بیرون استفاده شد.