A Windows Defender kritikus hibája állítólag már több támadásnak is teret adott

„Nincs kedd sorozat nélkül” – hangzott a 90-es évek tévés szlogenje a Vészhelyzet aktuális epizódja elõtt. Elõzõ kedden azonban a Microsoft aktuális havi javítókészlete érkezett meg, mely a Windows 10, nem kevesebb mint 83 biztonsági rését hivatott betömködni. A rendszer testén mostanáig kezeletlenül tátongó sebek között egyet különösen kínos helyen fedeztek fel, ugyanis a felhasználók védelmére létrehozott Windows Defender alkalmazásban rejtõzködött.

Hasonló eset bizony nem elõször fordul elõ, ami azért is kifejezetten kínos, mert a Microsoft saját kezûleg fejlesztett alkotása rendszeresen a top 3-ban végez a Windowshoz készült vírusvédõ és tûzfalas szolgáltatások között. Legutóbb talán tavaly márciusban történt, hogy egy gyári frissítés vakfoltokat okozott a Defender keresési mechanizmusában, ezáltal a valóban kártékony fájlok is megúszhatták a vizsgálatokat. Mint kiderült, az aktuális CVE-2021-1647 kódnév alatt jelzett sérülékenység sajnos nem a Microsoft alkalmazottainak tûnt fel elsõként. A kritikus biztonsági rés egy távoli hozzáférést és kéretlen kódok futtatását lehetõvé tévõ hiba, ami pont azt a Microsoft Malware Protection Engine (mpengine.dll) összetevõt érintette, mely a víruskeresõ és kémprogram-elhárító szoftver számára biztosítja a szkennelési, észlelési és tisztítási képességeket. A rés saját bevallásuk szerint már jóval a javítás kiadása elõtt aktív használatban volt, de a visszaélésekre vonatkozó statisztikai adatokat sajnos nem ismerhettünk meg. Annyit azonban tudhatunk, hogy a sikeres támadáshoz még alacsony felhasználói jogosultság sem feltétlenül szükséges, és arra sincs szükség, hogy az aktiváláshoz a gép tulajdonosa valamilyen meghatározott tevékenységet végezzen. Ami a leginkább furcsa, hogy a hivatalos információs lap szerint a hiba a Windows 7-ig visszamenõen a korábbi operációs rendszerekben is fennáll, ez a probléma tehát nem a közelmúlt terméke.

A korrektség kedvéért azért érdemes megjegyezni, hogy a vírusvédelmi szoftverekben rejtõzõ biztonsági rés nem példa nélküli jelenség és többek között az Apple is tiltott már ki olyan biztonsági célú alkalmazásokat, melyek többek között felhasználói adatokat közvetítettek gyanús keleti szerverek felé. Az mindenesetre továbbra is kínos, hogy a milliók adataiért felelõs operációs rendszer saját hivatalos frissítései havi rendszerességgel szállíthatnak ilyen meglepetéseket. A legutóbbi foltozás a Defender hibáján kívül 82 másik problémát hivatott orvosolni, melyek olyan alkalmazásokat és összetevõket is érintenek, mint az Edge böngészõ, ChakraCore, Office és Microsoft Office Services, Web Appok, Visual Studio, .NET Core, ASP .NET, és Azure. A 83-ból összesen 10 hibát minõsítettek kritikusnak, a többi 73 pedig Important, vagyis Fontos besorolást kapott. Az Edge böngészõt sújtó CVE-2021-1705 hiba például egy HTML-alapú sebezhetõség, mely memóriahibák kihasználására épül, míg a CVE-2021-1674 a Windows távoli asztali protokoll alapvetõ biztonsági szolgáltatását kerülte meg.

A CVE-2021-1648 is megér egy misét, ugyanis egy olyan alapvetõ rendszerösszetevõt kiszolgáltató hiba volt, amit még szeptember végén a Google biztonsági részlege fedett fel. A jelentés különlegességét az adja, hogy a Google Project Zero csapatánál bevett szokás, hogy minden felfedezést elõször a rendszerek fejlesztõinek jelez, majd vár 90 napot és csak azután hozza nyilvánosságra a jelentését, ha az illetékesek ezalatt nem adtak ki javítást. Nos, ez a Microsoftnak láthatóan nem sikerült, mivel a helyzetrõl végül a Google adott ki tájékoztatást. A splwow64.exe amúgy a Windows egyik fontos, alapszolgáltatását vezérlõ eleme, mely a nyomtatókezelésben játszik fontos szerepet, és segít más folyamatok és alkalmazások számára, hogy hozzáférjenek a különbözõ nyomtatási funkciókhoz. A sérülés sikeres kihasználásával szintén tetszõleges kódok futtatása válik lehetségessé, és akár egy teljes Rendszergazdai jogosultságokkal felruházott fiók létrehozását is lehetõvé teszi, mellyel lényegében bármilyen kártékony tevékenység kivitelezhetõ. A helyzet sajnos a Microsoft részérõl duplán kínosnak tekinthetõ, mivel korábban azt nyilatkozták, hogy egy júniusi frissítés keretében már javításra került. Ezzel szemben a Google azt jelentette, hogy a veszély lehetõsége továbbra is fennáll, csak más megközelítést igényel a támadó részérõl.

A január 12-én aktivált frissítõcsomag mindenki számára elérhetõ a Windows Update szolgáltatás alatt, de a manuális keresést elmulasztó felhasználók sem maradnak le róla, mivel náluk néhány napon belül automatikusan letöltõdik és aktiválódik.

Források: TheHackersNews.com,  theregister.com, zdnet.com, msrc.microsoft.com