Исследователи обнаружили новую уязвимость в операционной системе Windows, связанную с темами оформления. Она позволяет злоумышленникам удалённо красть учётные данные NTLM. Проблема остаётся актуальной на всех версиях Windows — от 7 до 11, несмотря на выпущенные ранее обновления безопасности.
Эксплуатация NTLM давно используется в Relay-атаках, где хакеры заставляют уязвимые устройства подключаться к подконтрольным серверам, получая доступ к конфиденциальным данным. Microsoft уже объявила о намерении отказаться от NTLM в будущих версиях Windows 11.
Исследователь ACROS Security выявил новую уязвимость в процессе разработки микропатча для уже известного бага CVE-2024-38030, который также затрагивал темы оформления и ранее была описан специалистом компании Akamai. Уязвимость приводила к утечке данных при просмотре сетевых путей в параметрах темы, таких как обои или изображение бренда.
Свежевыявленная zero-day уязвимость оказалась весьма коварной: по словам генерального директора ACROS Security Митьи Кольшека, одного лишь отображения вредоносного файла в проводнике Windows достаточно для автоматической передачи учётных данных пользователя, даже без запуска файла и непосредственного применения темы оформления.
Демонстрация атаки на свежей версии Windows 11 24H2 доступна в видео ниже:
Code:
<pre class="alt2" dir="ltr" style="
margin: 0px;
padding: 6px;
border: 1px solid rgb(0, 0, 0);
width: 640px;
height: 34px;
text-align: left;
overflow: auto;
background: rgb(37, 37, 37) none repeat scroll 0% 0%;
border-radius: 5px;
font-size: 11px;
text-shadow: none;">https://youtu.be/dIoU4GAk4eM</pre>
В качестве временного решения ACROS Security предлагает установить фирменное приложение-сервис 0patch для применения неофициальной заплатки безопасности. Делать это или нет, каждый пользователь в праве решать сам. Так или иначе, Microsoft уже подтвердила наличие проблемы и заявила о скором выпуске обновления.
В ожидании официального патча пользователи также могут воспользоваться мерами предосторожности, предложенными Microsoft, например, заблокировать использование NTLM-хэшей с помощью групповой политики, как описано в рекомендациях к CVE-2024-21320.
Как уточнил Кольшек, новая уязвимость не затрагивает Windows Server в стандартной конфигурации, так как темы оформления там не используются без установки дополнительного компонента Desktop Experience. Однако на серверах утечка данных всё же возможна, хоть и при непосредственном применении темы, а не при обычном просмотре в проводнике.
https://www.securitylab.ru/news/553478.php