Haavoittuvuus Microsoft Windows Task Scheduler -ohjelmassa

Windows Task Scheduler -ohjelmasta on löydetty haavoittuvuus, joka mahdollistaa paikallisen käyttäjän saamaan korotetut SYSTEM oikeudet.

Microsoft Windows Task Scheduler -ohjelman Advanced Local Procedure Call (ALPC) käsittelystä on löydetty haavoittuvuus, jota hyödyntämällä on mahdollista korottaa paikallisen käyttäjän käyttöoikeudet järjestelmätason (SYSTEM) käyttöoikeuksiksi.

Task Scheduler on Windows-käyttöjärjestelmän mukana toimitettava ohjelma, jonka avulla voidaan ajastaa erilaisten komentojen ja ohjelmien suorittamista tietojärjestelmässä.

Haavoittuvuuden hyväksikäyttömenetelmä (PoC) on julkisesti saatavilla.

Microsoft ei ole vielä julkaissut tiedotetta haavoittuvuudesta.

Haavoittuvuuden kohde

64-bittiset Windows versiot:

Microsoft Windows 10
Microsoft Windows 8
Microsoft Windows Server 2012
Microsoft Windows Server 2016

Mahdollisesti myös aiemmat sekä 32-bittiset Windows versiot ovat haavoittuvia julkiselle hyväksikäyttömenetelmälle pienin muutoksin PoC -koodiin.

Mistä on kysymys?

Virallista Microsoftin hyväksymää rajoituskeinoa tai korjaavaa ohjelmistopäivitystä ei ole vielä saatavilla.

Haavoittuvuuden hyväksikäyttöä on mahdollista rajoittaa asettamalla Access Control Entry (ACE) hakemistoon 'C:\Windows\Tasks' millä estetään kaikilta käyttäjiltä niin kutsuttujen hard link -viittausten luonti tai estetään kyseiseen hakemistoon kirjoittaminen kokonaan.

Tämän voi tehdä esimerkiksi komennolla:

cacls C:\Windows\Tasks /S:"D:PAI(D;OICI;DCLC;;;WD)(A;;0x1200ab;;;AU)(A;;FA;;;BA)(A;OICIIO;GA;;;BA)(A;;FA;;;SY)(A;OICIIO;GA;;;SY)(A;OICIIO;GA;;;CO)"

Rajoitusmenetelmä olisi hyvä poistaa heti kun korjaava ohjelmistopäivitys on asennettu:

cacls C:\Windows\Tasks /S:"D:PAI(A;;0x1200ab;;;AU)(A;;FA;;;BA)(A;OICIIO;GA;;;BA)(A;;FA;;;SY)(A;OICIIO;GA;;;SY)(A;OICIIO;GA;;;CO)"

Kannattaa kuitenkin aina varmistaa ennen rajoituksen laajempaa käyttöönottoa ettei se aiheuta haittaa oman ympäristön toiminnalle.

Mitä voin tehdä?

https://www.kb.cert.org/vuls/id/906424

Työasemat ja loppukäyttäjäsovellukset

Työasemien ja tavallisten käyttäjien sovellusten haavoittuvuudet koskevat usein monia käyttäjiä. Kohteena voi olla esimerkiksi Windows-käyttöjärjestelmä tai tekstinkäsittelyohjelma. Ero palvelinsovellusten ja loppukäyttäjäsovellusten välillä on joskus häilyvä, esimerkiksi samaa käyttöjärjestelmää voidaan käyttää sekä palvelimessa että työasemassa.

Palvelimet ja palvelinsovellukset

Palvelinten ja palvelinohjelmistojen haavoittuvuudet koskevat esimerkiksi sähköisten asiointipalvelujen tarjoajia. Tyypillisiä kohteita ovat palvelinten käyttöjärjestelmät ja www- tai sähköpostipalvelinohjelmistot kuten esimerkiksi SunOS, Linux, Apache, IIS tai Sendmail.

Paikallisesti

Paikallisesti tapahtuvan hyökkäyksen voi tehdä vain pääsemällä hyökkäyksen kohteena olevan laitteen luokse ja käyttämällä sitä paikallisesti. Paikallista hyökkäystä ei voi tehdä verkkoyhteyden kautta.

Käyttövaltuuksien laajentaminen

Käyttövaltuuksien laajentaminen mahdollistaa järjestelmän käyttämisen esimerkiksi pääkäyttäjänä, tavallista käyttäjää laajemmin valtuuksin.

Ongelman rajoittaminen

Vaikka varsinaista korjausta haavoittuvuuteen ei aina ole saatavilla, sen vaikutuksia voidaan useimmiten rajoittaa esimerkiksi pidättäytymällä tilapäisesti jonkin ominaisuuden käytöstä tai rajoittamalla verkkoliikennettä kohdejärjestelmään sopivasti.

Ei päivitystä

Haavoittuvuuden tultua julki ei korjausta siihen ole välttämättä heti saatavilla. Kohdejärjestelmät ovat alttiita haavoittuvuuden hyväksikäytölle jos niiden suojaamiseksi ei ryhdytä toimenpiteisiin.