Jak chyba funguje: závod mezi kontrolou a použitím souboru

Zranitelnost vychází ze závodní podmínky TOCTOU (Time-of-Check to Time-of-Use) a z nesprávného vyhodnocení odkazu před přístupem k souboru, klasifikovaného jako CWE-59 .

Engine Microsoft Defender běží záměrně s oprávněními účtu NT AUTHORITY\SYSTEM, tedy s nejvyšší úrovní oprávnění v systému Windows. Exploit se pokouší přimět engine, aby mezi kontrolou souboru a jeho následným použitím pracoval s jiným cílem:

• Běžný uživatel vytvoří speciálně připravený soubor nebo symbolický odkaz, který engine nejprve zkontroluje.
• Ještě před samotným použitím se tento objekt vymění nebo přesměruje. Pomocí mechanismu známého jako oplock lze načasování závodu zpřesnit .
• Engine následně provede privilegovanou operaci — například zápis nebo spuštění — v umístění kontrolovaném útočníkem.
• Výsledkem může být příkazový shell s oprávněními SYSTEM, což v praxi znamená úplnou kontrolu nad místním počítačem .

Podle dostupných reprodukcí exploit funguje bez ohledu na to, zda je v Defenderu zapnutá, nebo vypnutá ochrana v reálném čase . Samotné vypnutí Defenderu proto nepředstavuje spolehlivou obranu.

Hodnocení závažnosti podle CVSS

Microsoft zranitelnost hodnotí skóre CVSS 3.1 7,8, tedy jako HIGH. Ve svém hodnocení uvádí nízkou složitost útoku, mimo jiné proto, že oplock může učinit závodní podmínku spolehlivější. Microsoft zároveň zařadil chybu do kategorie „Exploitation More Likely“, tedy že zneužití je považováno za pravděpodobnější .

Databáze NVD uvádí základní skóre 7,0 (HIGH) a vyšší složitost útoku, protože zohledňuje technickou obtížnost samotného závodu. Podle hodnocení Microsoftu dosahuje časové skóre 7,6 .

Časová osa zveřejnění

Od zveřejnění exploitu 10. června do potvrzení Microsoftem 16. června uplynulo přibližně šest dní. Na začátku července byl funkční exploit veřejně dostupný zhruba měsíc, aniž by byla k dispozici trvalá oprava .

Kdo RoguePlanet zveřejnil?

Za objevem a zveřejněním stojí bezpečnostní výzkumník vystupující pod přezdívkami Nightmare Eclipse a Chaotic Eclipse . RoguePlanet je podle dostupných zpráv sedmým exploitem v pokračující kampani zaměřené na Microsoft Defender. Mezi dříve zveřejněné chyby spojované s touto kampaní patří BlueHammer, RedSun, UnDefend, YellowKey a GreenPlasma .

Server TechRadar popsal RoguePlanet jako součást dlouhodobého výzkumu útočné plochy Defenderu. Spolehlivost řetězce následně ověřily také další skupiny, například ThreatLocker .

Proč bezpečnostní komunita kritizuje čekání na opravu?

Kritika se soustředí především na nepoměr mezi rozsahem problému a rychlostí reakce. Microsoft Defender je standardně součástí instalací Windows, takže potenciální zásah se týká velmi široké základny spotřebitelských i firemních zařízení .

• Red Hound upozornil, že funkční exploit pro antivirus dodávaný s každou kopií Windows byl veřejný déle než dva týdny, přesto stále neexistovala oprava .
• Cloud Security Alliance označila situaci k 19. červnu, tedy devět dní po zveřejnění exploitu, za znepokojivou. Microsoft tehdy neoznámil ani vydání opravy, ani časový plán mimořádné aktualizace .
• Podle cve.tools nebyla oprava dostupná ani 1. července, 21 dní po zveřejnění. Tak dlouhé vystavení veřejně dostupnému exploitu označil zdroj u zranitelnosti v klíčové bezpečnostní komponentě za neobvyklé .

Bezpečnostní experti zároveň poukazovali na ironii celé situace: komponenta určená k ochraně systému se sama stává cestou k získání oprávnění SYSTEM. Zpoždění proto vyvolalo otázky ohledně procesu, kterým Microsoft řeší veřejně známé zranitelnosti ve vlastních bezpečnostních produktech .

Co mohou organizace dělat do vydání opravy?

1. Po vydání aktualizace ji okamžitě nasadit

Jakmile Microsoft zveřejní bezpečnostní aktualizaci pro Malware Protection Engine, měla by být prioritně distribuována prostřednictvím Windows Update nebo Microsoft Update Catalog . Do té doby je vhodné sledovat záznam CVE a oznámení Microsoft Security Response Center (MSRC), zejména kvůli případné mimořádné aktualizaci .

2. Omezit počet uživatelů s lokálním přístupem

Exploit vyžaduje interaktivní přístup k systému. Na citlivých stanicích a serverech proto omezte počet lokálních účtů a zabraňte přístupu nedůvěryhodných nebo neprověřených uživatelů . Omezení fyzického i logického přístupu je v této situaci jedním z nejspolehlivějších dočasných opatření.

3. Prosadit aplikační allowlisting

Nástroje AppLocker nebo WDAC (Windows Defender Application Control) mohou blokovat neschválené spustitelné soubory a skripty, včetně neznámých binárních souborů s proof-of-concept kódem . Jde o jednu z nejpraktičtějších vrstev ochrany do doby, než bude k dispozici oprava.

4. Zapnout pravidla ASR a posílit monitoring

Pravidla ASR (Attack Surface Reduction) mohou pomoci blokovat krádeže přihlašovacích údajů a spouštění nedůvěryhodných procesů. Nemusí však přímo zastavit závodní podmínku TOCTOU .

V řešeních EDR nastavte upozornění na neobvyklé používání oplocků a na vytváření symbolických odkazů procesy, které neběží pod účtem SYSTEM. Tyto indikátory mohou pomoci zachytit pokusy o zneužití .

5. Zachovat princip nejmenších oprávnění

Běžným uživatelům nepřidělujte lokální administrátorská práva. Toto opatření sice RoguePlanet samo o sobě nezastaví — chyba umožňuje přechod z běžného uživatele na SYSTEM — sníží však dopad dalších běžných scénářů napadení .

Do vydání oficiální opravy proto dává největší smysl kombinovat omezení lokálního přístupu, aplikační allowlisting, monitoring a připravený proces rychlé instalace aktualizace.

Jak chyba funguje: závod mezi kontrolou a použitím souboru

Zranitelnost vychází ze závodní podmínky TOCTOU (Time-of-Check to Time-of-Use) a z nesprávného vyhodnocení odkazu před přístupem k souboru, klasifikovaného jako CWE-59 .

Engine Microsoft Defender běží záměrně s oprávněními účtu NT AUTHORITY\SYSTEM, tedy s nejvyšší úrovní oprávnění v systému Windows. Exploit se pokouší přimět engine, aby mezi kontrolou souboru a jeho následným použitím pracoval s jiným cílem:

• Běžný uživatel vytvoří speciálně připravený soubor nebo symbolický odkaz, který engine nejprve zkontroluje.
• Ještě před samotným použitím se tento objekt vymění nebo přesměruje. Pomocí mechanismu známého jako oplock lze načasování závodu zpřesnit .
• Engine následně provede privilegovanou operaci — například zápis nebo spuštění — v umístění kontrolovaném útočníkem.
• Výsledkem může být příkazový shell s oprávněními SYSTEM, což v praxi znamená úplnou kontrolu nad místním počítačem .

Podle dostupných reprodukcí exploit funguje bez ohledu na to, zda je v Defenderu zapnutá, nebo vypnutá ochrana v reálném čase . Samotné vypnutí Defenderu proto nepředstavuje spolehlivou obranu.

Hodnocení závažnosti podle CVSS

Microsoft zranitelnost hodnotí skóre CVSS 3.1 7,8, tedy jako HIGH. Ve svém hodnocení uvádí nízkou složitost útoku, mimo jiné proto, že oplock může učinit závodní podmínku spolehlivější. Microsoft zároveň zařadil chybu do kategorie „Exploitation More Likely“, tedy že zneužití je považováno za pravděpodobnější .

Databáze NVD uvádí základní skóre 7,0 (HIGH) a vyšší složitost útoku, protože zohledňuje technickou obtížnost samotného závodu. Podle hodnocení Microsoftu dosahuje časové skóre 7,6 .

Časová osa zveřejnění

Od zveřejnění exploitu 10. června do potvrzení Microsoftem 16. června uplynulo přibližně šest dní. Na začátku července byl funkční exploit veřejně dostupný zhruba měsíc, aniž by byla k dispozici trvalá oprava .

Kdo RoguePlanet zveřejnil?

Za objevem a zveřejněním stojí bezpečnostní výzkumník vystupující pod přezdívkami Nightmare Eclipse a Chaotic Eclipse . RoguePlanet je podle dostupných zpráv sedmým exploitem v pokračující kampani zaměřené na Microsoft Defender. Mezi dříve zveřejněné chyby spojované s touto kampaní patří BlueHammer, RedSun, UnDefend, YellowKey a GreenPlasma .

Server TechRadar popsal RoguePlanet jako součást dlouhodobého výzkumu útočné plochy Defenderu. Spolehlivost řetězce následně ověřily také další skupiny, například ThreatLocker .

Proč bezpečnostní komunita kritizuje čekání na opravu?

Kritika se soustředí především na nepoměr mezi rozsahem problému a rychlostí reakce. Microsoft Defender je standardně součástí instalací Windows, takže potenciální zásah se týká velmi široké základny spotřebitelských i firemních zařízení .

• Red Hound upozornil, že funkční exploit pro antivirus dodávaný s každou kopií Windows byl veřejný déle než dva týdny, přesto stále neexistovala oprava .
• Cloud Security Alliance označila situaci k 19. červnu, tedy devět dní po zveřejnění exploitu, za znepokojivou. Microsoft tehdy neoznámil ani vydání opravy, ani časový plán mimořádné aktualizace .
• Podle cve.tools nebyla oprava dostupná ani 1. července, 21 dní po zveřejnění. Tak dlouhé vystavení veřejně dostupnému exploitu označil zdroj u zranitelnosti v klíčové bezpečnostní komponentě za neobvyklé .

Bezpečnostní experti zároveň poukazovali na ironii celé situace: komponenta určená k ochraně systému se sama stává cestou k získání oprávnění SYSTEM. Zpoždění proto vyvolalo otázky ohledně procesu, kterým Microsoft řeší veřejně známé zranitelnosti ve vlastních bezpečnostních produktech .

Co mohou organizace dělat do vydání opravy?

1. Po vydání aktualizace ji okamžitě nasadit

Jakmile Microsoft zveřejní bezpečnostní aktualizaci pro Malware Protection Engine, měla by být prioritně distribuována prostřednictvím Windows Update nebo Microsoft Update Catalog . Do té doby je vhodné sledovat záznam CVE a oznámení Microsoft Security Response Center (MSRC), zejména kvůli případné mimořádné aktualizaci .

2. Omezit počet uživatelů s lokálním přístupem

Exploit vyžaduje interaktivní přístup k systému. Na citlivých stanicích a serverech proto omezte počet lokálních účtů a zabraňte přístupu nedůvěryhodných nebo neprověřených uživatelů . Omezení fyzického i logického přístupu je v této situaci jedním z nejspolehlivějších dočasných opatření.

3. Prosadit aplikační allowlisting

Nástroje AppLocker nebo WDAC (Windows Defender Application Control) mohou blokovat neschválené spustitelné soubory a skripty, včetně neznámých binárních souborů s proof-of-concept kódem . Jde o jednu z nejpraktičtějších vrstev ochrany do doby, než bude k dispozici oprava.

4. Zapnout pravidla ASR a posílit monitoring

Pravidla ASR (Attack Surface Reduction) mohou pomoci blokovat krádeže přihlašovacích údajů a spouštění nedůvěryhodných procesů. Nemusí však přímo zastavit závodní podmínku TOCTOU .

V řešeních EDR nastavte upozornění na neobvyklé používání oplocků a na vytváření symbolických odkazů procesy, které neběží pod účtem SYSTEM. Tyto indikátory mohou pomoci zachytit pokusy o zneužití .

5. Zachovat princip nejmenších oprávnění

Běžným uživatelům nepřidělujte lokální administrátorská práva. Toto opatření sice RoguePlanet samo o sobě nezastaví — chyba umožňuje přechod z běžného uživatele na SYSTEM — sníží však dopad dalších běžných scénářů napadení .

Do vydání oficiální opravy proto dává největší smysl kombinovat omezení lokálního přístupu, aplikační allowlisting, monitoring a připravený proces rychlé instalace aktualizace.