Уязвимость Dirty COW исправлена не до конца

Олег Иванов 01 Декабря 2017 - 09:01

Домашние пользователи

...

Исследователи Bindecy утверждают, что печально известная уязвимость «Dirty COW» (CVE-2016-5195), обнаруженная в прошлом году в Linux, была не до конца устранена. Эксперты выяснили, что уязвимость обусловлена тем, как подсистема памяти ядра Linux обрабатывает разрывы памяти в режиме copy-on-write (COW). Эта ошибка могла позволить злоумышленнику повысить свои привилегии в системе.

Более того, эта брешь затрагивала и Android. Вскоре после этого Google выпустила патч, однако были разработаны новые атаки, использующие Dirty COW на системе Android.

Как утверждают эксперты Bindecy, никто не заметил, что предложенный патч не до конца устранял уязвимость Dirty COW. Исходная уязвимость повлияла на функцию get_user_pages, которая используется для получения физических страниц за виртуальными адресами в пользовательских процессах.

По словам исследователей, выпущенное исправление не уменьшает запрашиваемые разрешения.

«_user_pages теперь просто помнит тот факт, что мы прошли цикл COW», — объясняют специалисты.

Команда Bindecy обнаружила, что уязвимость все еще может быть использована, когда задействованы Transparent Huge Pages (THP) и Page Medium Directory (PMD).

Исследователи обнаружили, что код исправления Dirty COW, который имеет отношение к THP, содержит функцию can_follow_write_pmd, которая в основном применяет ту же логику can_follow_write_pte к большим страницам PMD.

То есть каждый раз, когда get_user_pages пытается получить большую страницу, эта страница не проходит цикл COW. Таким образом, нарушается логика can_follow_write_pmd, говорят исследователи.

«На данный момент использовать страницу достаточно просто — мы сначала разбиваем исходную страницу , а затем включаем грязный бит», — отмечает Bindecy.

Ранее мы также упоминали о том, что эксплойты для Android используют уязвимость Dirty COW.

Следующая главная новость »

Самые свежие новости ИТ и ИБ. Обзоры, аналитика, анонсы главных ивентов
Подписывайтесь на телеграм-канал!

Екатерина Быстрова 06 Августа 2026 - 17:01

Windows Домашние пользователи Microsoft

В Сети появился скрипт против скрытого идентификатора Microsoft в Windows

VPN не поможет, если маячок встроен глубже. Компания Windscribe представила открытый PowerShell-скрипт deGDID, который удаляет из Windows глобальный идентификатор устройства Microsoft и мешает системе создать новый. Правда, приватность придётся оплачивать частично сломанными облачными сервисами.

Речь идёт о Global Device Identifier — постоянном идентификаторе, который сохраняется при смене IP-адреса и работает ниже уровня VPN-туннеля.

Недавно GDID помог ФБР выйти на след предполагаемого хакера. Преступника поймали — отлично, но существование скрытого трекера без кнопки отключения заставило пользователей задуматься.

Скрипт deGDID распространяется через GitHub и запускается в PowerShell с правами администратора. Команда -Status показывает найденные идентификаторы, -Status -Redact скрывает их в диагностических журналах, а -Protect удаляет сохранённые ключи и блокирует выпуск новых. Вернуть стандартные настройки позволяет -Unprotect.

Просто стереть записи из реестра недостаточно: после перезагрузки или обращения к серверам Microsoft Windows молча создаёт их заново. Поэтому deGDID меняет списки контроля доступа и разрешения реестра, а также блокирует внутренний интерфейс DeviceAdd. После этого службы идентификации Microsoft перестают воспринимать компьютер как зарегистрированное устройство.

Однако после применения скрипта могут перестать работать отдельные приложения и облачные функции Microsoft. В ходе проверки возникли ошибки подключения, а аутентификация через login.live.com оказалась заблокирована во всех браузерах. При этом login.microsoftonline.com, онлайн-игры и некоторые другие приложения продолжили работать.

Удалить уже переданные Microsoft идентификаторы скрипт не способен. Кроме того, он предназначен только для неуправляемых компьютеров: на корпоративном или доменном устройстве deGDID откажется запускаться.