مرکز آپا دانشگاه کردستان

انتشار اکسپلویت روز صفر ویندوز 10 توسط SandboxEscaper برای دور زدن باگ اخیراً وصله شده آن

هکر ناشناس و معروف به نام SandboxEscaper، کد PoC آسیب‌پذیری روز صفر ویندوز دیگری را منتشر کرده است که آسیب‌پذیری ارتقای سطح دسترسی محلی(CVE-2019-0841) وصله شده اخیر در ویندوز 10 را اکسپلویت می‌کند. این دومین اکسپلویتی است که CVE-2019-0841 را دور می‌زند، این آسیب‌پذیری ارتقای سطح دسترسی به دلیل مدیریت نامناسب لینک‌ها در سرویس AppX Deployment وجود داشت و توسط مایکروسافت در ماه آوریل وصله شد. SandboxEscaper نام مستعار هکری ناشناس و به طور گسترده شناخته شده است که از اوت 2018 به طور فعال اکسپلویت‌های روز صفر ویندوز را منتشر کرده است و تابحال 9 اکسپلویت را منتشر کرده است. بهره‌برداری با استفاده از مرورگر edge طبق توضیحات SandboxEscaper که در حال حاضر از مخزن GitHub او حذف شده است، می‌توان این آسیب‌پذیری را با حذف تمام فایل‌ها و زیر پوشه‌ها در محل مرورگر Edge که در آدرس زیر نشان داده شده است، تریگر کرد. "c:users%username%appdatalocalpackagesMicrosoft.MicrosoftEdge_8wekyb3d8bbwe" اولاً باید فرآیند حذف را به عنوان یک حساب کاربری محلی انجام دهیم. بنابراین هنگامی که کاربر Edge را راه‌اندازی می‌کند، مرورگر با یک پیام خطا بسته می‌شود اما هنگامی که یک کاربر محلی دوباره آن را راه‌اندازی می‌کند، منجر به نوشتن یک لیست صلاحدید کنترل دسترسی یا (DACL) می‌شود که “SYSTEM” را جعل می‌کند. نوشتارهای DACL دلخواه به کاربر با سطح دسترسی پایین اجازه تغییر مجوزهای سیستم و در نهایت کنترل کامل دسترسی مدیریتی سیستم را می‌دهد. به گفته SandboxEscaper، تنها 2 ساعت طول کشید تا این باگ را پیدا کند و به سرعت PoC آن را نوشت. به گفته تحلیل‌‌گر آسیب‌پذیری CERT/CC به نام Will Dormann، این باگ در سیستم‌های ویندوز 10 کاملاً وصله شده (1809و1903) و آخرین به‌روزرسانی ماه می وجود دارد و اکسپلویت آن به یک کاربر دسکتاپ معمولی اجازه کنترل کامل یک فایل محافظت شده را می‌دهد. برای روشن شدن بیشتر مسئله، یک مهاجم ابتدا باید به عنوان یک کاربر محلی به سیستم وارد شود و سپس اکسپلویت را برای تریگر کردن این آسیب‌پذیری و کنترل سیستم آسیب‌پذیر اجرا کند.