研究人員在沒有通報微軟就公佈微軟工作排程器task scheduler零時差攻擊漏洞,以及PoC攻擊程式碼

不負責爆料?研究人員揭露還沒有修補程式的Windows 工作排程器零時差漏洞

一名研究人員在沒有通報微軟的情況下,就透過推特公佈了微軟工作排程器(task scheduler)一項權限升級的零時差攻擊漏洞,以及PoC攻擊程式碼。

名為SandboxEscaper的研究人員並未說明任何漏洞細節,只說是零時差漏洞,而他也未通報微軟,但是卻在GitHub公佈了概念驗證(PoC)攻擊程式。CERT/CC工程師Will Dormann隨後證實了漏洞的存在。

這項漏洞是一項本機權限升級漏洞,出在Windows工作排程中的進階本機程序呼叫(Advanced Local Procedure Call,ALPC)介面上。ALPC是Windows的IPC 機制能讓使用者在執行數個應用程式的時候,還可以互相交換資料,同一個OS的用戶端程序可以要求伺服器程序提供資訊或執行某個作業。Dromann指出該漏洞能允許本機用戶取得系統管理員權限。

另外,CERT也證實這名研究人員公佈的PoC攻擊程式對修補完成的64-bit Windows 10及Windows Server 2016系統發生作用。更糟的是,目前本漏洞尚無有效的解決方案及修補程式。也就是說目前64-bit Windows機器都有被駭風險。

微軟對The Register表示該公司正儘速研究並提供緩解的建議。微軟下次安全更新發佈時間為9月11日。

前資安研究員在推特公開未知漏洞,後續效應有待觀察

一般而言,資安研究員若是發現到軟體的弱點,會先行通報廠商,讓廠商能進行相關的修補作業,待完成並提供更新檔案後,資安研究員才會公開揭露他們發現的細節,減少弱點遭到大肆濫用的可能。不過,最近有名前漏洞研究員,以推特帳號SandboxEscaper發表一篇貼文,將研究結果直接公開,表示她發現了一個Windows零時差漏洞,並在GitHub上提供了概念性驗證用的攻擊程式,隨後,美國電腦網路危機處理暨協調中心(CERT/CC)弱點分析師Will Dormann,也依循SandboxEscaper推文的資料,證實了這個弱點的存在。不過,截至目前為止,微軟還沒有提供任何的修補軟體。

依據正常的軟體漏洞通報流程,一般民眾可能會經由特定的通報平臺,而資安研究團隊會直接聯繫軟體開發廠商,經由廠商與通報者多次的確認、驗證,並等待廠商修補完成之後,才會完全公布漏洞的細節。然而,像前述直接在社群網站上公開的做法,便會讓這些軟體的弱點,成為有心人士可能濫用的目標。

漏洞通報管道多元,但難防有人直接在社群網站上公開

在臺灣,目前可提供漏洞通報的平臺,包含了HITCON ZeroDay,以及臺灣電腦網路危機處理暨協調中心(TWCERT/CC)等,鼓勵研究人員能夠提供他們找到的弱點,用來減少漏洞被濫用的機會。而不少科技公司為了改良自家的產品或服務平臺,像是微軟、Google、蘋果、臉書,甚至是臺灣人常用的Line,它們也提供了抓漏懸賞計畫。然而,SandboxEscaper不只直接在推特上公開前述的漏洞,甚至表明不打算將相關資訊交給微軟,雖然這名研究員的動機不明,但是上述的做法,已經讓執行Windows作業系統的電腦,暴露在該漏洞所造成的風險之中。

這個被公開的漏洞,可讓有心人士利用工作排程器,並且讓本地端處理程序進階通訊(Advanced Local Procedure Call,ALPC)介面發生錯誤,進而提升存取權限。

美國電腦網路危機處理暨協調中心弱點分析師Will Dormann,則依據推文提供的資料進一步驗證,這個漏洞影響Windows 10與Windows Server 2016,並將這個漏洞登錄到CERT,並給予CVSS指標6.4至6.8分,就弱點本身的層面而言,風險程度算是中等(高風險為7分以上)。但真正的問題是,SandboxEscaper直接公開有關細節後,在微軟尚未提供任何修正檔案的空窗期之前,該漏洞可能會遭到濫用。此外,SandboxEscaper在自己的部落格上,也列出她曾發現的漏洞清單,其中,包含了一個Windows 10 LPE弱點的CVE-2018-8440,是否就是表示這次所揭露的弱點,已受到CVE列管,這名前研究員並未證實。

目前為止,微軟尚未提供相關的修補程式,因此許多外媒向微軟確認後,該公司表明會在9月份例行的修補星期二(9月11日),才推出有關的更新軟體。不過,資安公司的Acros Security,宣稱他們旗下的0patch零時差漏洞修補平臺,在揭露的24小時後,推出相關的微修補檔案預覽版本,可供應急。

附帶一提的是,雖然SandboxEscaper這樣直接公開漏洞的行為並不可取,但由於她的推文帶有自暴自棄的內容,加上前幾天(24日)在自己部落格中,這名研究員也表明想求職,因此在這篇推文中,不只多位研究員回報成功驗證,也有許多人推文幫她打氣,鼓勵她勇於參與廠商的抓漏獎勵計畫。

🍎たったひとつの真実見抜く、見た目は大人、頭脳は子供、その名は名馬鹿ヒカル!🍏