По словам экспертов, критическая уязвимость в используемой в Windows технологии Schannel, патч к которой вышел во вторник, открыта для эксплуатации и представляет собой еще одну серьезную проблему, связанную с реализацией протоколов SSL/TLS.

Secure Channel, или Schannel, используется в реализациях SSL и TLS — основных защищенных протоколов. Она встроена в каждую поддерживаемую Microsoft версию ОС и может удаленно эксплуатироваться, не требуя аутентификации атакующего. По словам представителей компании, брешь была обнаружена в ходе «профилактического аудита безопасности».

«Уязвимость в Secure Channel (Schannel), открывающая возможность удаленного исполнения кода, связана с некорректной обработкой специально созданных пакетов. Microsoft получила информацию о наличии данной бреши в рамках договоренности о скоординированном раскрытии уязвимостей. На момент публикации бюллетеня Microsoft не располагала какой-либо информацией о публичных прецедентах эксплуатации данной бреши. Обновление  закрывает уязвимость за счет корректировки процесса удаления специально созданных пакетов», — пишет Microsoft в официальном уведомлении.

Для эксплуатации бага атакующему достаточно заманить пользователя на страницу с эксплойтом. Брешь в Schannel пополнила длинный список связанных с SSL/TLS уязвимостей, появлявшихся за последние пару лет. Конечно, несомненным лидером в этом отношении является уязвимость Heartbleed в OpenSSL, ввергшая в панику все ИБ-сообщество прошедшей весной. Она позволяет атакующему при определенных обстоятельствах читать память систем, использующих для защиты уязвимое ПО, воровать SSL-ключи и расшифровывать защищенные коммуникации.

«В Microsoft утверждают, что обнаруженная уязвимость открывает возможность для удаленного исполнения кода и компрометации серверов. Вероятность скорого появления эксплойта была классифицирована компанией как «1», то есть очень высокая. Но, кроме этого, каких-либо публичных заявлений об особенностях бага не последовало, — отметил в блоге Йоханнес Ульрих (Johannes Ullrich) из Института SANS. — Я предполагаю, что у вас осталась примерно неделя или даже меньше на то, чтобы пропатчить свои системы до появления первого эксплойта. Вы поддерживали свои системы в образцовом порядке? В таком случае для вас все не так плохо. Всех остальных (то есть абсолютное большинство) предупреждаю: пока вы применяете патчи, подумайте на всякий случай о контрмерах и альтернативных конфигурациях».

В июне критическая уязвимость была обнаружена в GnuTLS — популярной открытой криптобиблиотеке. Она позволяла злоумышленнику исполнять произвольный код. «Брешь в GnuTLS возникла из-за особенностей парсинга идентификаторов сессий в хендшейках между сервером и TLS/SSL-клиентом, — заявил тогда Томас Хогер в информационном сообщении, опубликованном RedHat. — Контролируемый злоумышленниками сервер мог воспользоваться данной уязвимостью для того, чтобы установить слишком длинное значение идентификатора сессии и спровоцировать переполнение буфера в подключающемся TLS/SSL-клиенте, использующем GnuTLS-библиотеку. В результате это могло вызвать сбой или позволить атакующему исполнить произвольный код».

Не так давно исследователи из Google раскрыли  атаку на SSLv3, названную POODLE. В ходе MitM-атаки злоумышленнику удается спровоцировать на сервере откат до менее защищенного протокола SSLv3. Обманом заставив пользователя запустить в браузере JavaScript, атакующий сможет дешифровать защищенное соединение.

Microsoft в этой связи добавила несколько новых криптонаборов в реализацию TLS на Windows. «В дополнение к изменениям, перечисленным в секции «Информация об уязвимостях» бюллетеня, текущее обновление также привносит изменения в криптонаборы TLS. Новые криптонаборы TLS обеспечивают более надежное шифрование и работают в режиме GCM, притом два из них предлагают совершенную прямую секретность (Perfect forward secrecy, PFS) при использовании DHE-ключей вкупе с RSA-аутентификацией», — говорится в сообщении компании.

Категории: Главное, Уязвимости