Неделю назад Intel выпустила важный патч для уязвимости, позволяющей локальному пользователю повысить привилегии (EoP) и выполнить произвольный код на ПК под управлением Windows 7. Данная брешь крылась в драйвере режима ядра для встроенных видеокарт Intel серии HD Graphics и грозила захватом контроля над уязвимой машиной.

Согласно Intel, уязвимости были подвержены все версии пакета драйверов, выпущенные ранее 28 марта 2016 года. Эксплойт в данном случае «непосредственно отражается на конфиденциальности, целостности или доступности пользовательских данных либо ресурсов обработки данных». Пропатченная версия пакета драйверов уже доступна для скачивания.

Данная уязвимость (CVE-2016-5647) связана с Windows-компонентом NT Virtual DOS Machine (NTVDM), обеспечивающим поддержку унаследованных приложений. Наибольшей опасности подвергаются пользователи Windows 7, на долю которой, по данным Net MarketShare, все еще приходится 49% рынка десктопных операционных систем.

EoP-брешь обнаружил исследователь из Cisco Talos Петр Баня (Piotr Bania), соответствующий отчет был подан в Intel 3 июля. Спасительный патч появился 10 июля, после этого Cisco Talos предала уязвимость гласности. «Эксплойт данной уязвимости может быть осуществлен посредством отправки особого запроса к драйверу Intel HD Graphics, в результате чего произойдет разыменование указателя NULL», — гласит запись в блоге исследовательского подразделения Talos.

По данным Cisco, CVE-2016-5647 затрагивает также Windows 8 и Windows 10, однако на таких машинах злоумышленник сможет лишь вызвать состояние отказа в обслуживании, тогда как на Windows 7 и более ранних версиях ему бы удалось исполнить код.

«Чтобы добиться исполнения произвольного кода, атакующему необходимо иметь на Windows возможность выделить в памяти или назначить страницу с нулевым адресом, — пишут исследователи. — Когда в пространстве ядра происходит разыменование NULL, приложение режима пользователя, вызвавшее переключение контекста, все еще отображено в памяти нижнего уровня. Атакующий может этим воспользоваться и перед эксплуатацией уязвимости назначить NULL-страницу, чтобы иметь возможность контролировать контент разыменования. В данном случае контролируемое пользователем значение может оказаться указателем функции и повлечет исполнение произвольного кода».

По свидетельству Cisco, на машинах под Windows 7 или ниже «можно выделить или назначить NULL-страницу путем использования подсистемы NTVDM». С выходом Windows 8 эта служба была удалена для предотвращения локальных EoP-атак. Тем не менее исследователи отметили, что патч от Intel, предназначенный для решения проблемы с NTVDM, — не панацея: атакующий может аналогичным образом использовать другой драйвер, чтобы поместить контролируемые пользователем данные на NULL-странице.

Категории: Уязвимости