Эксперты показали первый RCE-эксплойт для бреши SMBGhost в Windows 10

Эксперты показали первый RCE-эксплойт для бреши SMBGhost в Windows 10

Команда исследователей из Ricerca Security разработала эксплойт для червеподобной уязвимости в системах Windows, а также продемонстрировала его работу на видео. С помощью этого PoC-кода можно выполнить код удалённо.

Получившая идентификатор CVE-2020-0796 брешь также известна экспертам в области кибербезопасности под именем SMBGhost. Она затрагивает протокол Microsoft Server Message Block 3.1.1 (SMBv3).

Проблема безопасности была актуальна для систем Windows 10 версии 1903 и 1909, однако Microsoft в середине марта выпустила соответствующий внеплановый патч, устраняющий уязвимость.

«Атакующий, успешно использовавший эту брешь, может выполнить код на целевом сервере или личном компьютере. Чтобы атаковать сервер, злоумышленник должен отправить ему специальный пакет. В случае с клиентом преступнику придётся поднять собственный SMBv3-сервер и заставить жертву подключиться к нему», — описывала Microsoft принцип SMBGhost.

Ранее исследователи уже публиковали коды эксплойтов (например, Дэниел Гарсия и Мануэль Бланко), однако ни один из них не демонстрировал возможность выполнить код удалённо.

«Скорее всего, никто не показал RCE-эксплойты по причине их существенного отличия от обычного локального выполнения кода. Ведь в случае удалённой атаки злоумышленник не сможет задействовать полезные функции операционной системы», — объясняет команда Ricerca Security.

Специалисты, однако, написали код эксплойта и поделились видео, на котором можно наблюдать процесс эксплуатации уязвимости SMBGhost.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Drupal устранили новый баг библиотеки PEAR Archive_Tar

Разработчики Drupal вновь внесли изменения в ядро CMS-системы: в используемой ею библиотеке PEAR Archive_Tar объявилась еще одна уязвимость, и исправленная версия уже вышла. Заплатки для Drupal тоже готовы, пользователям CMS версии 7 и веток 8.9, 9.0, 9.1 предлагают произвести обновление.

Согласно записи в базе данных уязвимостей Национального института стандартов и технологии США (NIST), проблема, зарегистрированная как CVE-2020-36193, похожа на CVE-2020-28948, которую команда Drupal устранила в ноябре. Она тоже позволяет выполнить на сервере вредоносный PHP-код через загрузку файла в формате .tar, .tar.gz, .bz2 или .tlz.

Причиной появления уязвимости является неадекватная проверка символических ссылок (симлинков), что открывает возможность для выполнения операций записи за пределами каталога ресурса. Степень опасности бреши разработчики оценили в 18 баллов из 25 возможных в соответствии с системой оценки, рекомендованной NIST.

Патчи для поддерживаемых версий CMS-системы включены в состав сборок 7.78, 8.9.13, 9.0.11 и 9.1.3. Разработчики напоминают, что версии Drupal 8 ниже 8.9.x сняты с поддержки, и патчи для них перестали выпускаться. В качестве альтернативной меры защиты пользователи могут запретить загрузку файлов названных форматов.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru