Centrum pomocy technicznej Windows jako furtka dla napastników

Błąd w Centrum pomocy technicznej Microsoftu może zostać wykorzystany do zdalnego zdyskredytowania komputera z Windows. Wystarczy do tego wywołanie zmanipulowanej strony WWW przy użyciu Internet Explorera.

Przyczyną problemu jest wadliwa implementacja funkcji białej listy, którą Centrum pomocy technicznej wykorzystuje do sprawdzania, czy dany dokument pomocy pochodzi z dozwolonego, zaufanego źródła. Jednakże Centrum może nie tylko pobierać z Sieci dokumenty pomocy (za pośrednictwem adresu URL z prefiksem hcp://), ale także uruchamiać lokalne aplikacje, na przykład zdalną obsługę pomocy technicznej i tym podobne.

Jak informuje Tavis Ormandy, w procedurze przetwarzania sekwencji wyjściowej na pełny adres URL (normalizacja URL-a) tkwi błąd, który pozwala oszukać białą listę i przekazać zmanipulowany adres. Oznacza to możliwość uruchamiania dowolnych programów na komputerze. Potencjalny napastnik mógłby na przykład otworzyć klienta FTP w celu pobrania i uruchomienia trojana.

Przeprowadzenie ataku nie jest proste. W opublikowanej prezentacji Ormandy wykorzystuje jeszcze inne usterki i sztuczki, które pozwalają mu uruchomić kalkulator systemowy bez ingerencji użytkownika. Wszak przy wywołaniu adresu URL z prefiksem hcp:// w Internet Explorerze pojawia się komunikat z ostrzeżeniem ("Czy chcesz zezwolić tej witrynie na otwarcie programu na komputerze"), który użytkownik musi potwierdzić.

Przeszkodę tę Ormandy omija w ten sposób, że adresu URL nie otwiera bezpośrednio w przeglądarce, lecz wywołuje go za pośrednictwem wtyczki ActiveX programu Windows Media Player –. wówczas ostrzeżenie się nie pojawia. Dodatkowo wykorzystuje lukę typu Cross-Site Scripting w pliku sysinfomain.htm, aby przekazać własne komendy do Centrum pomocy technicznej. Wszystko to składa się na wyrafinowany exploit, który w teście przeprowadzonym przez redakcję heise Security na w pełni załatanym systemie Windows XP SP3 z Internet Explorerem 8 i Windows Media Playerem zdołał otworzyć kalkulator systemowy. Zdaniem eksperta problem dotyczy również Windows Servera 2003. W Windows 7 z Internet Explorerem 8 exploit nie zadziałał.

Ormandy jest pewien, że przy niewielkiej modyfikacji exploita uda się go uruchomić także w innych systemach i to "dyskretniej". Co więcej, przeglądarki WWW to tylko jedna możliwość wykorzystania luki. Podobno Microsoft wie o usterce od 5 czerwca.

Odpowiedniej łaty jeszcze nie przygotowano. Ormandy zdecydował się natychmiast upublicznić usterkę, gdyż jego zdaniem potencjalni napastnicy już zdążyli ją przeanalizować i najlepszą rzeczą, którą można obecnie zrobić, jest szybka akcja informacyjna.

Jako tymczasowe obejście problemu Ormandy proponuje wyłączenie pobierania dokumentów pomocy w Centrum pomocy technicznej. W tym celu opublikował specjalną poprawkę. W teście przeprowadzonym przez heise Security exploit przestał działać po zainstalowaniu poprawki w Windows XP. Może się jednak zdarzyć, że na przykład w przedsiębiorstwach niezbędna będzie włączona funkcja zdalnej pomocy technicznej. W raporcie Ormandy podaje przykłady alternatywnych konfiguracji.

Odkrywca luki, który pracuje również w zespole Google'a zajmującym się bezpieczeństwem, w przeszłości wielokrotnie dawał się poznać jako twórca wyrafinowanych exploitów dla trudnych do wykorzystania usterek. Jego ostatnie dokonania to wykrycie luk w produktach Java Deployment Kit i Windows Virtual DOS Machine.

wydanie internetowe www.heise-online.pl