Дыра в драйвере позволяет повысить привилегии до SYSTEM на лэптопах LG

Дыра в драйвере позволяет повысить привилегии до SYSTEM на лэптопах LG

Дыра в драйвере позволяет повысить привилегии до SYSTEM на лэптопах LG

Исследователь в области безопасности обнаружил уязвимость повышения привилегий в приложении LG Device Manager, установленном на ноутбуках LG. Злоумышленники могут использовать этот баг для повышения своих прав в системе до уровня SYSTEM.

Эксперт, известный в Сети под псевдонимом Jackson T., рассказал об этой проблеме безопасности, которой был присвоен идентификатор CVE-2019-8372. Специалист наткнулся на брешь во время анализа драйвера уровня ядра, который принадлежал сервису LG Device Manager.

Этот драйвер — lha.sys/lha32.sys, версии v1.1.1703.1700 — запускается в системе в том случае, если имя продукта (Product Name) в BIOS содержит упоминание следующих строк: T350, 10T370, 15U560, 15UD560, 14Z960, 14ZD960, 15Z960, 15ZD960 или Skylake Platform.

Другими словами, драйвер загружается только на тех моделях лэптопов, которые оснащены шестым поколением процессоров Intel Core — Skylake.

Изучая файлы lha.sys и lha32.sys, которые на момент исследования имели версию 1.1.1703.1700, эксперт обнаружил проблему безопасности. Дыра позволяла злоумышленнику использовать Device Manager для повышения привилегий до SYSTEM. При этом атакующему не обязательно иметь доступ администратора для успешной эксплуатации.

«У драйвера есть функция отправки IOCTL, которую можно использовать для чтение и записи физической памяти. Когда драйвер загружен, устройство становится доступным атакующему без прав администратора, который может повысить свои привилегии в системе», — объясняет Jackson T.

Демонстрацию эксплуатации бреши эксперт опубликовал на YouTube:

Поскольку специалист уведомил LG о баге, компания смогла оперативно устранить эту уязвимость.

Европейский ЦОД погасил серверы и заодно доверие российских клиентов

Европейские дата-центры внезапно напомнили рынку старую истину: даже самая надежная инфраструктура работает ровно до тех пор, пока кто-то не выключит рубильник. В начале июня без предупреждения было обесточено оборудование в нидерландском ЦОДе nLighten, где размещались серверы компании MIRhosting.

Под удар, как уточняет «Коммерсант», попали десятки хостинг-провайдеров и VPN-сервисов, которыми пользуются в том числе российские клиенты. Среди пострадавших оказались VDSina, McHost и ряд других известных игроков рынка.

Причиной кризиса стали события несколькими днями ранее. Нидерландская финансово-следственная служба FIOD провела рейды в дата-центрах, задержала двух человек и изъяла более 800 серверов по подозрению в нарушении санкционного режима в отношении России.

По версии следствия, часть инфраструктуры могла использоваться для поддержки российских кибератак и операций по распространению дезинформации.

После этого руководство nLighten приняло радикальное решение — отключить питание стоек MIRhosting. Причем без предварительного уведомления клиентов. В результате вместе с рабочими сервисами оказались недоступны и резервные копии данных, которые находились на тех же обесточенных серверах.

Последствия быстро стали заметны. По оценкам участников рынка, только у одного из пострадавших провайдеров перестали работать не менее 15 тысяч сайтов. Кроме того, сбои затронули несколько популярных VPN-сервисов. Некоторым операторам пришлось в экстренном порядке переносить инфраструктуру на новые площадки и восстанавливать сервисы из резервных копий.

Собеседники рынка отмечают, что история стала наглядным примером опасности так называемой единой точки отказа. Когда дата-центр, посредник и конечный провайдер оказываются связаны в одной цепочке, проблемы одного участника автоматически превращаются в проблемы всех остальных.

Инцидент может иметь и более долгосрочные последствия. Эксперты полагают, что часть российских клиентов теперь начнет активнее диверсифицировать инфраструктуру и распределять серверы между разными странами и провайдерами. Под вопросом оказался и статус европейских площадок как нейтральной территории для размещения сервисов.

Впрочем, участники рынка не ждут катастрофы для VPN-индустрии. По их словам, альтернативных юрисдикций и площадок в мире по-прежнему достаточно. Но июньское отключение уже стало одним из самых громких инфраструктурных инцидентов года и хорошим напоминанием о том, что резервировать нужно не только данные, но и саму инфраструктуру.

RSS: Новости на портале Anti-Malware.ru