Обнаружен новый способ обхода Controlled Folder Access с помощью Office

Олег Иванов 07 Февраля 2018 - 15:33

...

Обнаружен новый способ обхода Controlled Folder Access с помощью Office

Исследователь безопасности нашел способ обойти функцию Controlled Folder Access («контролируемый доступ к директориям», CFA), реализованную в октябре прошлого года в Windows 10 Fall Creators Update. Эксперт из Испании обнаружил, что Microsoft автоматически позволила всем приложениям Office изменять файлы, расположенные в защищаемых Controlled Folder Access директориях.

Специалист полагает, что автор программы-вымогателя может легко обойти функцию защиты папок, добавив простые сценарии, которые будут взаимодействовать с OLE-объектами внутри файлов Office. В исследовании, опубликованном в минувшие выходные, эксперт приводит три примера, в которых используются вредоносные документы Office (полученные, например, через спам) для перезаписывания содержимого других документов Office, расположенных в папках под защитой CFA.

Таким образом, как сообщает исследователь, злоумышленник сможет зашифровать документы и потребовать у пользователя выкуп.

Эксперт уведомил Microsoft об обнаруженной проблеме. Также специалист приводит скриншот электронного письма, полученного в ответ от компании, где сказано, что Microsoft не классифицирует данную проблему как уязвимость в реализации функции Controlled Folder Access. Однако корпорация пообещала все равно исправить этот метод обхода.

Ранее мы писали, что Microsoft внедрила в Windows 10 Fall Creators защиту от шифровальщиков.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 06 Мая 2025 - 09:38

Windows Эксплойты Уязвимости программ Уязвимость нулевого дня Малый и средний бизнес Корпорации Microsoft

Обнаружена уязвимость в WDS: PXE-сервер можно вывести из строя удалённо

Если вы всё ещё используете Windows Deployment Services (WDS) для раздачи образов Windows по сети, пора всерьёз задуматься. Специалист обнаружил серьёзную уязвимость, которая позволяет удалённо и без аутентификации вывести из строя сервер буквально за несколько минут.

Да-да, без логинов, паролей и вообще какого-либо взаимодействия с пользователем — просто взял и положил.

WDS использует старый добрый протокол TFTP по UDP (порт 69) для раздачи установочных образов Windows. При подключении клиента сервер создаёт объект CTftpSession.

Проблема в том, что никакого лимита на число сессий не предусмотрено. В результате злоумышленник может подделывать IP-адреса и порты, рассылать фальшивые UDP-пакеты — и сервер начинает захлёбываться в собственных объектах.

«Ключевая проблема в том, что EndpointSessionMapEntry не накладывает ограничений на число сессий», — говорится в техническом отчёте. — «Атакующий может подделывать IP-адреса и номера портов, многократно создавая новые сессии, пока ресурсы системы не будут исчерпаны».

На тестовом сервере с Windows Server Insider Preview и 8 ГБ оперативной памяти исследователю Чжиниану Пэну удалось полностью обрушить систему за 7 минут — исключительно с помощью случайных UDP-пакетов с поддельными исходными адресами.

Это классическая zero-click DoS-атака — никаких действий со стороны пользователя не требуется. Просто поток UDP-трафика, и PXE-инфраструктура, через которую разворачиваются Windows-образы, оказывается парализованной.

Что ответил Microsoft? Пэн сообщил об уязвимости в Microsoft 8 февраля 2025 года. 4 марта компания подтвердила наличие бага, а 23 апреля… отказалась его исправлять. По официальной позиции Microsoft, проблема «не соответствует критериям для выпуска патча».

Пэн не скрывает разочарования:

«Мы считаем, что это важная уязвимость, которая подпадает под стандарт SDL, и нам было очень неприятно общаться с Microsoft по этому поводу», — написал он.

Тем не менее Microsoft патч выпускать не планирует, поэтому Пэн даёт однозначную рекомендацию: