Исследователь получил 16 тысяч долларов за ошибки в диагностике Windows

Microsoft без CVE закрыла уязвимость в «Справке» Windows 11, которая давала обычному пользователю права SYSTEM

Microsoft без бюллетеня и без номера CVE исправила уязвимость в приложении «Получить справку» (Get Help) в Windows 11. Ошибка позволяла пользователю без прав администратора запустить свою программу с правами SYSTEM ( высшими в системе ) Об этом рассказал¹ исследователь Бен Уилсон из мельбурнской компании Tanto Security. Подробности он представил² 30 октября на конференции Kawaiicon в Веллингтоне, а до этого, на BSides Canberra в сентябре.

«Справка» запускает пакеты диагностики, наборы PowerShell скриптов, которые Microsoft хранит на своих серверах. Выполняет их служба Diagnostic Execution Service (DiagSvc), которая работает от имени SYSTEM. Старые средства устранения неполадок требовали подтверждения администратора. В Windows 11 любой пользователь может запустить DiagSvc напрямую, без запроса.

Уязвимым оказался пакет, который скачивает и запускает Media Creation Tool, утилиту для создания установочной флешки Windows. Скрипт создавал папку во временном каталоге, куда может писать любой пользователь, загружал туда программу и запускал её от SYSTEM. Уилсон использовал два состояния гонки, ошибки, при которых результат зависит от того, какой процесс успеет первым. Скрипт удалял старую папку и, прежде чем создать новую, делал запись в журнал. За эту паузу исследователь успевал создать папку сам. Затем во время загрузки он подменял настоящий исполняемый файл своим, и тот запускался с правами SYSTEM.

Уилсон сообщил о проблеме в Microsoft Security Response Center 13 мая. Компания подтвердила её 29 июня и на следующий день выплатила 8000 долларов (около 644 тыс. рублей). Исправление вышло примерно 1 сентября. По словам Уилсона, Microsoft изменила одну строку в PowerShell-скрипте. О патче он узнал, только когда начал записывать демонстрацию для доклада. Можно ли обойти исправление, исследователь пока не проверял.

Номера CVE у уязвимости нет, и Уилсон не уверен, что он появится. Без номера администраторам не по чему сверить, защищены ли их компьютеры. Ещё 8000 долларов Microsoft заплатила за похожую ошибку в диагностическом пакете Outlook. Третья уязвимость, в пакете для «Календаря», ещё на стадии раскрытия, вознаграждения за неё нет. Об атаках с использованием ошибки в Media Creation Tool неизвестно. Microsoft публично уязвимость не комментировала.

Источники

1. iTnews ↩

2. Kawaiicon ↩