Drive-by RCE در ویندوز 10 "با یک کلیک قابل اجرا است"

مهرداد میرابی
1400-09-17
10:54

محققان هشدار می دهند که آسیب پذیری امنیتی اساسی هنوز در سیستم عامل محبوب وجود دارد

یک آسیب‌پذیری اجرای کد از راه دور (RCE) در ویندوز 10 که می‌تواند به سادگی با کلیک کردن روی یک URL مخرب فعال شود، می‌تواند به مهاجمان اجازه دسترسی کامل به فایل‌ها و داده‌های قربانی را بدهد.

نقص امنیتی، تزریق آرگومان در کنترل‌کننده پیش‌فرض Windows 10/11 برای ms-officecmd: URIs، در ویندوز 10 از طریق مرورگرهای Internet Explorer 11/Edge Legacy و تیم‌های مایکروسافت وجود دارد.

مایکروسافت از آن زمان یک پچ منتشر کرده است، اما محققان ادعا می‌کنند که این اصلاح – پنج ماه پس از گزارش باگ اعمال شد – به درستی به تزریق آرگومان اساسی که در حال حاضر همچنان در ویندوز 11 وجود دارد، پاسخ نمی‌دهد

ویندوز به صورت داخلی از ms-officecmd: URI ها برای راه اندازی برنامه های مختلف مایکروسافت استفاده می کند.

محققان Positive Security که این تحقیق را در یک پست وبلاگ ارائه کردند، نشان دادند که چگونه می توان یک URL را به گونه ای ساخت که با کلیک روی آن، یک دستور مخرب اجرا شود.
همراه با یک مشکل امنیتی در اینترنت اکسپلورر 11/Edge Legacy، بازدید از یک وب‌سایت مخرب برای راه‌اندازی اکسپلویت کافی است.

محققان همچنین هشدار دادند که این آسیب پذیری هنوز در سیستم عامل وجود دارد.

تکنیک حمله

فابیان برونلین، محقق، در گفتگو با The Daily Swig گفت: «حمله با بازدید قربانی از یک وب‌سایت مخرب در IE11/Edge Legacy یا کلیک کردن روی پیوند مخرب در مرورگر یا برنامه دسک‌تاپ دیگر شروع می‌شود.

سپس پیوند به LocalBridge.exe ارسال می‌شود، که به نوبه خود فایل‌های اجرایی مختلف آفیس را با بخشی از پیوند به عنوان آرگومان اجرا می‌کند.
ما دریافتیم که امکان تزریق آرگومان‌های اضافی وجود دارد که به ما امکان می‌دهد با راه‌اندازی تیم‌های مایکروسافت با یک آرگومان اضافی –gpu-launcher که توسط Electron تفسیر می‌شود، به اجرای کد دست پیدا کنیم.

بهره برداری از طریق مرورگرهای دیگر به قربانی نیاز دارد که یک گفتگوی تایید نامحسوس را بپذیرد.

از طرف دیگر، یک URI مخرب می تواند از طریق یک برنامه دسکتاپ که مدیریت ناامن URL را انجام می دهد نیز تحویل داده شود. با این حال، پیش شرط این اکسپلویت خاص، نصب تیم های مایکروسافت اما اجرا نشدن آن است.

Bräunlein گفت که تیم این آسیب‌پذیری را پس از تحقیقاتی که در اوایل سال جاری انجام شد، زمانی که بررسی کردند چگونه برنامه‌های دسکتاپ محبوب مختلف URL‌ها را با طرح‌های URI غیر استاندارد مدیریت می‌کنند، پیدا کردند و آسیب‌پذیری‌هایی را در «چند مورد از آنها» کشف کردند.

او توضیح داد :

برای نمایش بهره‌برداری از یافته‌هایمان در ویندوز، ما عمدتاً از طرح‌های مربوط به فایل همراه با فایل‌های اجرایی/jar که روی اشتراک‌گذاری فایل‌های قابل دسترسی به اینترنت میزبانی می‌شوند، استفاده کردیم.
یکی از اخطارهای آن پیلودها این است که یا نیاز به نصب جاوا دارند یا برای تأیید یک دیالوگ برای اجرای فایل اجرایی.
ما می‌خواستیم سناریوی حمله مبتنی بر URLهای مخرب را با یافتن یک آسیب‌پذیری اجرای کد در یک کنترل‌کننده URI که از قبل با ویندوز نصب شده است، بهبود بخشیم