【Black Hat】将已修复漏洞统统变0day!Windows更新缺陷可引发不可检测的降级攻击
2024-8-14 21:5:6 Author: mp.weixin.qq.com(查看原文) 阅读量:2 收藏

 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士

SafeBreach Labs公司的研究员 Alon Leviev 督促注意微软 Windows Update 架构中的重大差距,提醒称恶意黑客可发动软件降级攻击,使任何Windows 机器上的“完全打补丁”状态变得毫无意义。

Leviev 在黑帽大会上演示了如何接管 Windows Update 进程,在关键的OS组件上构造自定义降级、提权以及绕过安全特性。Leviev 表示,“我能够让完全打补丁的 Windows 机器易受过去数千个漏洞的攻击,将已修复漏洞变为0day漏洞。”

Leviev 提到,他发现可操纵操作列表 XML 文件推送“Windows Downdate”工具,绕过所有验证步骤,包括完整性验证和 Trusted Installer 执行。他提到该工具能够降级关键的OS组件,导致操作系统错误报告已完全更新。

降级攻击也被称为“版本回滚”攻击,即将不受影响的、完全更新的软件回滚到含有已知可利用漏洞的老旧版本。Leviev 表示发现 BlackLotus UEFI Bootkit 中包含一个软件降级组件后开始检查 Windows Update,结果从中发现多个漏洞可被用于降级关键操作组件、绕过Windows VBS UEFI锁定,并将之前的提权漏洞暴露在虚拟化栈中。

Leviev 表示,已在今年2月份将该漏洞告知微软,并且在过去的6个月期间一直在协助缓解该问题。微软的一名发言人提到,正在开发安全更新来撤销过时的未修复的VBS系统文件来缓解该威胁。鉴于拦截数量众多的文件的复杂性,需要进行严格测试来避免集成错误或回归问题。

微软计划在当地时间本周三发布CVE编号,“为客户及时提供缓解措施或相关的风险降低指南”,目前尚不清楚何时发布补丁。Leviev还演示了在 Windows 中对虚拟化栈如何发动降级攻击。他滥用一个允许更少权限虚拟信任级别/层的设计权限来更新位于权限更高的虚拟信任级别/层级的组件。他指出,该软件降级回滚是“不可检测的”且“不可见”,并提醒称受此类攻击影响的不止 Windows 操作系统。

代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com

推荐阅读

恶意软件攻击Windows、Linux 和 macOS 开发人员

CrowdStrike:测试软件中的bug导致Windows蓝屏死机

我们仔细分析了使数百万Windows 蓝屏死机的CrowdStrike代码

微软:是欧盟把Windows 内核的密钥交给了 CrowdStrike,触发蓝屏死机

关于CrowdStrike 使 Windows 蓝屏死机,你需要知道的都在这里

原文链接

https://www.securityweek.com/safebreach-sounds-alarm-on-windows-update-flaws-allowing-undetectable-downgrade-attacks/

题图:Pexels License

本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错,就点个 “在看” 或 "” 吧~


文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247520485&idx=1&sn=f53184c4342e8e2616d7fa33402732dd&chksm=ea94a18fdde328991c258a6a0ea366cac853ca1b16610ff865ac811e679324717a8d49adad8b&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh