Windows 11 sam pomagał przejąć komputer. Microsoft wolał nie robić hałasu

Windows 11 posiadał lukę, która pozwalała użytkownikowi ze zwykłymi uprawnieniami przejąć kontrolę nad systemem. Microsoft wyeliminował tę podatność po cichu.

Jak się okazuje Windows 11 posiadał dość groźną lukę umożliwiającą na przejęcie kontroli nad komputerem. Podatność pozwalała bowiem uzyskać najwyższe uprawnienia SYSTEM. Źródłem problemu były aplikacje Uzyskaj pomoc i mechanizm uruchamiania narzędzi diagnostycznych. Co ciekawe, firma usunęła lukę bez publikowania identyfikatora CVE.

Zwykły użytkownik mógł uzyskać najwyższe uprawnienia

Podatność odkrył Ben Wilson, badacz bezpieczeństwa z australijskiej firmy Tanto Security. Analizował on działanie platformy Get Help, która wykorzystuje pakiety diagnostyczne zawierające skrypty PowerShell udostępniane przez Microsoft.

Windows 11 posiadał lukę, która pozwalała użytkownikowi ze zwykłymi uprawnieniami przejąć kontrolę nad systemem. Microsoft wyeliminował tę podatność po cichu.

Skrypty są wykorzystywane przez usługę Diagnostic Execution Service (DiagSvc). Działa ona z uprawnieniami SYSTEM, zapewniającymi pełny dostęp do systemu operacyjnego. W starszych wersjach Windows uruchomienie takiej diagnostyki wymagało zgody administratora, ale Wilson odkrył, że w Windowsie 11 standardowy użytkownik mógł uruchomić usługę bez dodatkowego potwierdzenia.

Dwa błędy pozwalały podmienić program

Badacz skoncentrował się na pakiecie diagnostycznym pobierającym Media Creation Tool, czyli narzędzie do tworzenia nośników instalacyjnych Windows. Skrypt tworzył katalog tymczasowy, pobierał program i uruchamiał go z uprawnieniami SYSTEM. Wilson wykorzystał dwa błędy race condition, związane z kolejnością wykonywania operacji.

Najpierw przejmował kontrolę nad katalogiem tuż jego usunięciem a ponownym utworzeniem. Następnie podmieniał pobierany plik wykonywalny na własny program. W rezultacie Windows uruchamiał podstawioną aplikację z najwyższymi uprawnieniami.

Microsoft wypłacił 16 tysięcy dolarów

Wilson zgłosił podatność Microsoftowi 13 maja. Firma potwierdziła jej istnienie 29 czerwca, a następnego dnia przyznała nagrodę. Poprawka pojawiła się 1 września i polegała na zmianie jednej linijki skryptu PowerShell, uniemożliwiającej przejęcie katalogu pobierania.

Badacz nie sprawdził jeszcze, czy zabezpieczenie można obejść. Odkrył również osobną podatność w diagnostyce Outlooka oraz trzeci problem dotyczący Kalendarza. Za pierwsze dwa zgłoszenia otrzymał po 8000 dolarów. Trzecia luka nadal przechodzi procedurę ujawniania, a nagrody jeszcze nie wypłacono.

Dobrze, iż Microsoft zareagował w miarę szybko i usunął lukę, która pozwalała na przejęcie kontroli nad urządzeniem, a więc stanowiła poważne zagrożenie. Nie wiadomo jednak czy była wykorzystywana przez cyberprzestępców.