Windows 10 Zero-day kwetsbaarheid verschijnt plotseling online
Besturingssystemen zoals Windows 10, Linux en MacOS zitten vol kwetsbaarheden waar we tot op heden nog niks over weten. Het klinkt misschien vreemd, maar elk stukje software dat de mens ooit zal maken, bevat kwetsbaarheden. Door het werk van ethische-hackers worden deze lekken op tijd gespot en kunnen ze niet misbruikt worden. Niet elke hacker begeeft zich echter op legaal terrein, zo is weer eens duidelijk geworden. SandboxEscaper heeft namelijk een lek gepubliceerd zonder er met Microsoft over in gesprek te gaan. Het lek, dat te vinden is op GitHub, is dan ook nog niet verholpen door Microsoft – wanneer dat het geval zal zijn is nog onbekend, Patch Tuesday is net achter de rug.
Windows Taakplanner-kwetsbaarheid
SandboxEscaper plaatste op GitHub een lek die op het eerste zicht vrij weinig invloed heeft, je kan er immers geen toegang mee verkrijgen tot een systeem. Toch is het een vrij ernstig lek, een hacker kan er namelijk het toestemmingsniveau van accounts mee verhogen tot administrator, waardoor ze alle rechten verkrijgen over de computer. Misbruiken van de kwetsbaarheid verloopt via Windows Taakplanner en de manier waarop discretionary access control list-toestemmingen aan bestanden worden gegeven. Deze methodiek is niet al te veilig, zo wordt duidelijk uit het bericht van de hacker. Via het lek kan hij immers toestemmingen veranderen van gebruikersaccount, naar admin-status.
SandboxEscaper just released this video as well as the POC for a Windows 10 priv esc pic.twitter.com/IZZzVFOBZc
— Chase Dardaman (@CharlesDardaman) May 21, 2019
De hacker heeft het overigens niet alleen gehouden bij het publiceren van het lek, maar is zo ver gegaan als het creëren van een proof-of-concept. Momenteel zou deze enkel werken op 32-bit versies van Windows 10, maar met enkele aanpassingen zou deze ook op andere (vermoedelijk 64-bit) versies van Windows 10 moeten werken. SandboxEscaper heeft overigens al wat ervaring met het publiceren van local privilege escalation-kwetsbaarheden, vorig jaar wist de hacker er vier te publiceren. Hij geeft ook aan dat hij de ‘samenleving niks schuldig is’, en dat hij ‘alleen rijk wil worden van het verkopen van LPE’s’ aan niet-westerse partijen, als een Zero-day kwetsbaarheid.
Nog geen Windows-patch
Gezien de hacker het lek niet heeft gemeld aan Microsoft, en de softwaregigant het lek dus op dezelfde dag ontdekt als wanneer het lek is gepubliceerd, is er dan ook nog geen oplossing. Het Nederlandse Nationaal Cyber Security Center waarschuwt dan ook voor het lek en dat er nog geen oplossing beschikbaar is. Het is mogelijk dat Microsoft later deze maand nog een update uit zal rollen, maar vooralsnog heeft de softwaregigant er nog geen bericht over vrijgegeven.
Besturingssystemen zoals Windows 10, Linux en MacOS zitten vol kwetsbaarheden waar we tot op heden nog niks over weten. Het klinkt misschien vreemd, maar elk stukje software dat de mens ooit zal maken, bevat kwetsbaarheden. Door het werk van ethische-hackers worden deze lekken op tijd gespot en kunnen ze niet misbruikt worden. Niet elke hacker begeeft zich echter op legaal terrein, zo is weer eens duidelijk geworden. SandboxEscaper heeft namelijk een lek gepubliceerd zonder er met Microsoft over in gesprek te gaan. Het lek, dat te vinden is op GitHub, is dan ook nog niet verholpen door Microsoft – wanneer dat het geval zal zijn is nog onbekend, Patch Tuesday is net achter de rug.
Windows Taakplanner-kwetsbaarheid
SandboxEscaper plaatste op GitHub een lek die op het eerste zicht vrij weinig invloed heeft, je kan er immers geen toegang mee verkrijgen tot een systeem. Toch is het een vrij ernstig lek, een hacker kan er namelijk het toestemmingsniveau van accounts mee verhogen tot administrator, waardoor ze alle rechten verkrijgen over de computer. Misbruiken van de kwetsbaarheid verloopt via Windows Taakplanner en de manier waarop discretionary access control list-toestemmingen aan bestanden worden gegeven. Deze methodiek is niet al te veilig, zo wordt duidelijk uit het bericht van de hacker. Via het lek kan hij immers toestemmingen veranderen van gebruikersaccount, naar admin-status.
SandboxEscaper just released this video as well as the POC for a Windows 10 priv esc pic.twitter.com/IZZzVFOBZc
— Chase Dardaman (@CharlesDardaman) May 21, 2019
De hacker heeft het overigens niet alleen gehouden bij het publiceren van het lek, maar is zo ver gegaan als het creëren van een proof-of-concept. Momenteel zou deze enkel werken op 32-bit versies van Windows 10, maar met enkele aanpassingen zou deze ook op andere (vermoedelijk 64-bit) versies van Windows 10 moeten werken. SandboxEscaper heeft overigens al wat ervaring met het publiceren van local privilege escalation-kwetsbaarheden, vorig jaar wist de hacker er vier te publiceren. Hij geeft ook aan dat hij de ‘samenleving niks schuldig is’, en dat hij ‘alleen rijk wil worden van het verkopen van LPE’s’ aan niet-westerse partijen, als een Zero-day kwetsbaarheid.
Nog geen Windows-patch
Gezien de hacker het lek niet heeft gemeld aan Microsoft, en de softwaregigant het lek dus op dezelfde dag ontdekt als wanneer het lek is gepubliceerd, is er dan ook nog geen oplossing. Het Nederlandse Nationaal Cyber Security Center waarschuwt dan ook voor het lek en dat er nog geen oplossing beschikbaar is. Het is mogelijk dat Microsoft later deze maand nog een update uit zal rollen, maar vooralsnog heeft de softwaregigant er nog geen bericht over vrijgegeven.
