Windows Update: załatano poważną słabość w obsłudze ISO

Dziurą o najwyższym współczynniku CVSS, która jest aktywnie wykorzystywana, było CVE-2022-41128 naprawiające bliżej niescharakteryzowaną podatność w Hoście Skryptów Windows. Druga w kolejności dziura dotyczy (kolejny miesiąc z rzędu) ODBC, ale jest na tyle złożonym scenariuszem, że jest istotna głównie w specyficznych środowiskach, korzystających z Microsoft SQL Servera. Ma identyfikatory CVE-2022-41047 i CVE-2022-41048.

Listopadowe paczki likwidują także całkiem poważne problemy w podsystemach zdalnego logowania i wywoływania procedur, jak Kerberos (CVE-2022-37966), NETLOGON i PPTP (CVE-2022-41088). Jeżeli ktoś jest ciekaw, czy i tym razem znaleziono dziury w pliku Win32k.sys: tak, również teraz otrzymamy nową jego wersję (CVE-2022-41109). Jeżeli ktoś jest ciekaw, plik ten waży 672 kilobajty.

Zdecydowanym zwycięzcą listopada jest jednak CVE-2022-41091, czyli nieprawidłowe działanie oznaczenia znanego pod potoczną nazwą "mark-of-the-web" (MotW). Jest to etykieta, którą Windows przyprawia plikom, które uznaje za "pobrane z internetu". Otwieranie takich plików, jeżeli nie naciśniemy we Właściwościach przycisku Odblokuj, jest celowo utrudniane przez Windowsa.

Pliki wykonywalne (i skrypty) będą pytać, czy na pewno wiemy, co uruchamiamy. Dzięki temu plik "skan.png.vbs" szybko ukaże swoją złowrogą naturę. Tak samo zrobią np. skróty. Makra w tak oznaczonych dokumentach będą wyłączone, podobnie jak pozostała zawartość aktywna, którą Office wyświetli w widoku chronionym. Wydaje się, że to małe zabezpieczenie, ale jest ono nie bez znaczenia.

Tag MotW pozwala stosować zasady grupy, które np. całkowicie wyłączą silnik skryptu dla plików nim oznaczonych. Poprawia to poziom bezpieczeństwa i pozwala odkryć, że to co klikamy wcale nie jest dokumentem, tylko programem. Etykieta MotW ulega propagacji w plikach ZIP. Jeżeli jest on oznaczony jako pobrany z internetu, wszystkie rozpakowane z niego pliki też będą tak oznaczone. Sztuczki tej niedawno (wreszcie) nauczył się 7-Zip, traktując tak samo wszystkie rozpakowywane przez siebie archiwa, nie tylko ZIP.

Dotychczas problemem było to, że Windows postępował tak z rozpakowanymi plikami, ale nie robił tego dla plików ISO, czyli obrazów płyt. Windows natywnie obsługuje pliki ISO i dwuklik na takowy montuje go jako literkę dysku w systemie. W efekcie twórcy wirusów zaczęli dystrybuować wirusy w postaci zestawu plik ISO + skrót LNK. Umieszczony wewnątrz zamontowanego ISO skrót nie był blokowany przez MotW. A Windows ukrywa rozszerzenia plików LNK zawsze, nawet wtedy gdy mamy włączone ukazywanie rozszerzeń.

Możliwość skutecznego blokowania plików VBS i HTA oraz domyślne wyłączenie obsługi mark w dokumentach sprawiło, że wzrosła popularność wirusów stosujących ISO, REG i LNK. Poprawka dla ISO (wyceniona nisko, na 5.4) niewątpliwie cieszy, ale potężny zakres możliwości ukrywania złośliwego kodu w plikach LNK pozostaje nienaruszony. Jeżeli Microsoft zabierze się za tę sprawę, zajmie mu to jeszcze więcej czasu niż w przypadku makr. A przestępcy nie próżnują...