Обнаруженная в Linux уязвимость Shellshock может коснуться и Windows
Новости Безопасность
Пока множество специалистов постигали серьезность и глубину проблем с обнаруженной в сентябре уязвимостью Shellshock в популярной командной оболочке Bash, затрагивающей Linux и Unix, стало известно о том, что удаленное исполнение кода (RCE), характерное для Shellshock, возможно и на системах под Windows — прежде всего, на серверах: для них риск подвергнуться RCE-атакам особенно велик, сообщает «Лаборатория Касперского».
Бельгийская ИБ-компания Security Factory обнаружила в интерпретаторе команд Windows уязвимость, открывающую возможность удаленного ввода команд. Она использует переменные окружения таким же образом, как и эксплойты для Bash.
«А что, если обычный пользователь в вашей сети мог бы захватить контроль над файловыми Windows-серверами, создав директорию под особым именем (что совсем несложно) в одной из директорий, к которой у него есть доступ? – пишут эксперты Security Factory. — Все, что ему для этого нужно, — это создать папку под особым именем в окружении и воспользоваться довольно распространенной уязвимостью в скриптах, посылаемых для исполнения в командный анализатор».
Авив Рафф (Aviv Raff), технический директор Seculert, подтвердил, что проблема во многом схожа с Shellshock, и ей подвержены многие ОС Windows — даже Windows 10 Preview.
«Допустим, вы добавили новую переменную в окружение программы, а при ее использовании исполняется код, вписанный в ее имя, — отметил Рафф, анализируя опубликованный отчет. — Возможно, проблема не столь масштабна, как в Linuxили UNIX, но при этом имеет потенциальное влияние на работу сред Windows Server, так как они используют командные файлы и скрипты, в которых содержатся переменные окружения».
Росс Барретт (Ross Barrett), старший менеджер по системам безопасности в Rapid7, полагает, что Windows и ее внутренние скрипты пока в безопасности, чего нельзя сказать о скриптах, написанных для Windows.
«Факт, на который стоит в первую очередь обратить внимание: добавить переменную окружения в Windows– это уже изначально привилегированная операция, так что если у вас есть такая возможность, считайте, что система ваша, — уточнил Барретт. — Администраторам стоит провести аудит своих скриптов на возможность изменения переменной %CD% и каких-либо других переменных окружения, но Microsoft вряд ли будет выпускать патч для потенциальной бреши. Нам также известно, что Bash в средах Cygwin или coLinu xпотенциально уязвим, но вероятность появления экплойтов минимальна».
Клиент-системы Windows с большей долей вероятности не подвержены риску удаленного применения эксплойта, отметил Рафф. В случае с уязвимостью Shellshock это было возможно из-за особенностей использования командной строки серверами Apache или DHCP.
«Мне не удалось удаленно послать исполняемый код для компрометации систем Windows, — подтвердил Рафф. — Эксплуатация бага возможна только в локальной сети или в отдельных средах Windows Server».
Microsoft новость о потенциальной бреши не прокомментировала, так как не считает ее угрозой безопасности, и сообщила SecureFactory, что не будет публиковать официальное оповещение. Еще в 2006 году корпорация опубликовала в блоге запись, где обрисовала, как происходит расширение переменных при чтении команд — а это, по большому счету, и есть суть Shellshock.
Рафф посоветовал организациям, разрабатывающим коды с использованием переменных окружения Windows, провести проверку кода и убедиться в том, что он исполняется корректно.
«Ссылаясь на переменные окружения, нужно использовать кавычки; если их не использовать, написанный код исполняется, — сказал Рафф. — Microsoft не считает ОС уязвимой для эксплойтов, так как она уже предложила способ, с помощью которого можно избежать проблем. Если же специалисты компании удостоверятся в том, что написание переменной без кавычек не запустит исполнение кода, будет еще лучше. Но внесение изменений может спровоцировать сбои где-нибудь еще, и поэтому, наверное, они предпочитают не вмешиваться».
28.04.2025 16:46
Для дропперов введут уголовную ответственность
Правительство РФ подготовило поправки в ст. 187 Уголовного кодекса («Неправомерный оборот средств платежей»), которыми будет введена уголовная ответственность для так называемых дропперов
|
07.04.2019 19:42
Как увидеть скрытых друзей во «ВКонтакте»
Поскольку многие пользователи «ВКонтакте» искренне верят, что существует способ увидеть чужих скрытых друзей, Софтодром решил этот миф опровергнуть
29.11.2017 23:52
Как защитить файл или папку паролем в Windows
Что делать, если вы используете компьютер под управлением Windows и вдруг решили защитить какой-либо файл или папку паролем, чтобы посторонние не могли узнать, что у вас там находится
|
|
