IT гой еси

🪟 Ваша Windows больше не обновлена На BlackHat 2024 представлена элегантная атака Windows Downdate, (https://i.blackhat.com/BH-US-24/Presentations/US24-Leviev-Windows-Downdate-Downgrade-Attacks-Using-Windows-Updates-Wednesday.pdf) состоящая из нескольких уязвимостей и логических дефектов и нацеленная на систему обновлений операционной системы. Исследователи идентифицировали плохо контролируемый этап процедуры установки обновлений, на котором можно изменить содержимое actionlist (Pending.xml) и с помощью инструкции HardlinkFile установить в систему новые системные файлы. Сами файлы должны быть подписаны, поэтому внедрять таким образом ВПО нельзя, но вот устаревшие уязвимые файлы самой Microsoft установить можно. Дальше можно эксплуатировать давно известные уязвимости и овладеть системой вплоть до уровня гипервизора. С небольшими дополнительными ухищрениями можно сделать так, что в системе больше не устанавливаются реальные обновления, а стандартные инструменты проверки целостности рапортуют, что все компоненты — самые свежие и актуальные. Microsoft признала наличие проблемы, но пока не смогла устранить её, изучая возможные решения аж с февраля. Редмонд заявляет, что нужно тщательное тестирование, поскольку фикс затрагивает слишком много компонентов и файлов. Дефектам присвоены CVE-2024-21302 и CVE-2024-38202 (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38202), но в бюллетене пока есть только общие советы по минимизации привилегий пользователей, связанных с доступом к функциям резервного копирования и папкам с резервными копиями ОС. Отметим, что судя по описанию атаки, для её проведения нужны привилегии администратора, но осторожные формулировки Microsoft намекают, что есть и сценарии эскалации из непривилегированных аккаунтов.