SafeBreach Güvenlik Araştırmacısı Alon Leviev, Black Hat 2024'te, Windows 10, Windows 11 ve Windows Server sistemlerini tam olarak güncelleyen ve eski güvenlik açıklarını yeniden tanıtmak için iki sıfır günün kullanılabileceğini açıkladı.
Microsoft, Black Hat Talk ile koordineli olarak iki kez açılmamış sıfır gün (CVE-2024-38202 ve CVE-2024-21302 olarak izlenir) hakkında tavsiyelerde bulundu ve bir düzeltme yayınlanana kadar hafifletme tavsiyesi sağladı.
Aşağı aktarım saldırılarında, tehdit aktörleri, eski yazılım sürümlerine geri dönmeye zorlanarak güncel bir hedef cihazı zorlar ve sistemden ödün vermek için kullanılabilecek güvenlik açıklarını yeniden tanıtar.
SafeBreach Güvenlik Araştırmacısı Alon Leviev, Windows güncelleme işleminin dinamik bağlantı kütüphaneleri (DLLS) ve NT çekirdeği dahil kritik OS bileşenlerini düşürmek için tehlikeye atılabileceğini keşfetti. Tüm bu bileşenler artık güncel olmasa da, Windows güncellemesini kontrol ederken, işletim sistemi tamamen güncellendiğini, kurtarma ve tarama araçlarının herhangi bir sorunu algılayamadığını bildirdi.
Sıfır günlük güvenlik açıklarından yararlanarak, geçmiş ayrıcalık artış güvenlik açıklarını ortaya çıkarmak için kimlik bilgisi gardiyanının güvenli çekirdeğini ve izole kullanıcı modu işlemini ve Hyper-V'nin hipervizörünü de düşürebilir.
"UEFI kilitleri ile uygulandığında bile, kimlik bilgisi koruma ve hipervizör korumalı kod bütünlüğü (HVCI) gibi özellikleri de dahil olmak üzere Windows sanallaştırma tabanlı güvenlik (VBS) devre dışı bırakmanın birçok yolunu keşfettim. UEFI kilitleri fiziksel erişim olmadan atlandı. "
"Sonuç olarak, tamamen yamalı bir Windows makinesini binlerce geçmiş güvenlik açıklarına duyarlı hale getirebildim, sabit güvenlik açıklarını sıfır günlere dönüştürdüm ve dünyadaki herhangi bir Windows makinesinde" tamamen yamalı "terimini anlamsız hale getirdim.
Leviev'in dediği gibi, bu indirgeme saldırısı tespit edilemez çünkü uç nokta algılama ve yanıt (EDR) çözümleri ile engellenemez ve Windows Update'in bir cihazın tamamen güncellendiğini bildirdiğinden (düşürülmesine rağmen) görünmezdir.
Leviev, koordineli bir sorumlu açıklama sürecinin bir parçası olarak Şubat ayında Microsoft'a güvenlik açıklarını bildirdikten altı ay sonra "Windows Downdate" indirme saldırısını tanıttı.
Microsoft bugün hala Windows Update Stack ayrıcalığının yüksekliği (CVE-2024-38202) ve Windows Güvenli Çekirdek modu ayrıcalığının yüksekliğini (CVE-2024-21302) Güvenlik Açıkları için bir düzeltme üzerinde çalıştığını söyledi. Windows sistem dosyalarını eski sürümlerle değiştirerek güncellemeler ve güvenlik kusurlarını yeniden tanıtın.
Şirketin açıkladığı gibi, CVE-2024-38202 Windows Yedekleme ayrıcalığı artış güvenlik açığı, temel kullanıcı ayrıcalıklarına sahip saldırganların daha önce azaltılmış güvenlik hatalarını "karşılamasını" veya sanallaştırma tabanlı güvenlik (VBS) özelliklerini atlamalarını sağlar. Yönetici ayrıcalıklarına sahip saldırganlar, Windows sistem dosyalarını eski ve savunmasız sürümlerle değiştirmek için CVE-2024-21302 ayrıcalık artış kusurundan yararlanabilir.
Microsoft, şu anda vahşi doğada bu güvenlik açığından yararlanma girişiminin farkında olmadığını ve bir güvenlik güncellemesi yayınlanana kadar sömürü riskini azaltmaya yardımcı olmak için bugün yayınlanan iki güvenlik tavsiyesinde paylaşılan önerilerin uygulanmasını tavsiye ettiğini söyledi.
"Tamamen yamalı bir Windows makinesini binlerce geçmiş güvenlik açıklarına duyarlı hale getirmenin, sabit güvenlik açıklarını sıfır günlere dönüştürmenin ve dünyadaki herhangi bir Windows makinesinde 'tamamen yamalı' terimini yapmanın nasıl mümkün olduğunu gösterebildim. söz konusu.
Diyerek şöyle devam etti: "Etkilerinin sadece dünyanın en yaygın kullanılan masaüstü işletim sistemi olan Microsoft Windows için değil, aynı zamanda düşürme saldırılarına karşı potansiyel olabilecek diğer işletim sistemi satıcıları için de önemli olduğuna inanıyoruz."
Güncelleme 07 Ağustos, 17:27 EDT: Bir Microsoft sözcüsü, hikaye yayınlandıktan sonra aşağıdaki ifadeyi gönderdi.
Koordineli bir güvenlik açığı açıklaması yoluyla bu güvenlik açığını tanımlama ve sorumlu bir şekilde rapor etme konusunda SafeBreach çalışmasını takdir ediyoruz. Kapsamlı bir soruşturma, etkilenen tüm sürümlerde gelişimi güncelleme ve uyumluluk testi içeren kapsamlı bir süreci takip ederken, bu risklere karşı korunmak için aktif olarak azaltma geliştiriyoruz.
Microsoft ayrıca BleepingComputer'a, saldırıyı azaltmak için modası geçmiş, eşsiz sanallaştırma tabanlı güvenlik (VBS) sistem dosyalarını iptal edecek bir güncelleme üzerinde çalıştıklarını söyledi. Ancak, etkilenecek çok sayıda dosya nedeniyle bu güncellemeyi test etmek zaman alacaktır.
Temmuz Windows Server Güncellemeleri Uzak Masaüstü Bağlantılarını Bırakın
Windows Temmuz Güvenlik Güncellemeleri PC'leri Bitlocker Kurtarma'ya Gönder
Microsoft, Nisan Windows güncellemelerinin neden olduğu VPN hatalarını düzeltir
Windows 11 KB5040527 Güncelleme Windows yedekleme hatalarını düzeltiyor
Windows 10 KB5040525, WDAC sorunlarını düzeltiyor ve uygulama arızalarına, bellek sızıntısına neden oluyor
Kaynak: Bleeping Computer