SandboxEscaper нашла еще три 0-day в продуктах Microsoft

Киберпреступник может получить административные привилегии в операционных системах Windows 10, Windows Server 2016 и 2019, используя уязвимость в планировщике задач. Об этом сообщила независимый ИБ-специалист под псевдонимом SandboxEscaper, опубликовавшая код эксплойта и видео с демонстрацией процесса атаки. Чуть позже исследовательница выложила информацию о еще двух багах 0-day в продуктах Microsoft.

Первая проблема связана с недостаточной проверкой разрешений объекта методом SchRpcRegisterTask. В комментариях к PoC на GitHub ИБ-специалист отмечает, что киберпреступник имеет возможность загрузить в менеджер задач специально подготовленный JOB-файл и запустить его с системным правами. Для эксплуатации уязвимости нападающему требуется доступ к целевому устройству и учетной записи пользователя, поэтому баг не может быть использован самостоятельно и представляет опасность лишь как один из элементов атаки.

После публикации кода эксплойта ИБ-аналитик Уилл Дорманн (Will Dormann) проверил его работу на актуальных релизах Windows 10 32/64-bit и подтвердил наличие проблемы. Эксперт предполагает, что уязвимость присутствует также в Windows Server 2016 и 2019, чей код основан на ядре Windows 10. Сообщения о баге в более ранних версиях ОС пока не подтверждены.

Другая проблема получила название AngryPolarBearBug2 по аналогии с уязвимостью, обнародованной SandboxEscaper в декабре прошлого года. Баг присутствует в журнале ошибок Windows Error Reporting (WER) и позволяет атакующему выполнить вредоносный код в режиме ядра и получить расширенный набор прав на устройстве.

Представители Microsoft заявили, что эта ошибка идентифицирована как CVE-2019-0863 и уже получила заплатку в рамках майского комплекта обновлений безопасности.

Третий баг SandboxEscaper обнаружила в Internet Explorer 11. Как следует из опубликованного видео, исследовательница нашла возможность отключить защиту браузера и внедрить в него сторонний код. Эксперты оценивают эту уязвимость как незначительную и обращают внимание на тот факт, что она требует локального доступа к компьютеру, на котором запущен интернет-обозреватель.

SandboxEscaper не первый раз сообщает об уязвимостях нулевого дня в Windows. В августе прошлого года исследовательница опубликовала описание CVE-2018-8440, также позволявшего повысить привилегии через планировщик задач. Вскоре эксплойт взяла на вооружение криминальная группировка PowerPool — используя баг, киберпреступники заменяли легитимный файл GoogleUpdate на вредоносную копию с функциями бэкдора.

Еще одна проблема была выявлена в функции MsiAdvertiseProduct, предназначенной для внедрения рекламных объектов в ОС. Ошибка состояния гонки позволяет нападающему прочитать и скопировать любой системный файл, обладая лишь информацией о его местонахождении.

Microsoft выпускала заплатки для всех багов, найденных SandboxEscaper, в рамках регулярных выпусков обновлений, обычно публикуемых каждый второй вторник месяца.

Источник: https://threatpost.ru/sandboxescaper-found-three-more-0day-in-microsoft-products/32770/