Нова 0day уязвимост в ОС Windows: изтичане на данни чрез темите за оформление (видео)

Самото показване на зловреден файл в Explorer вече е достатъчно за осъществяване на атака.

Изследователи откриха нова уязвимост, свързана с темите на Windows, която дава възможност на хакерите отдалечено да откраднат идентификационните данни на NTLM. Уязвимостта е актуална за всички версии на Windows, от 7 до 11, въпреки публикуваните по-рано актуализации за безопасност.

Използването на NTLM отдавна се използва при релейните атаки, при които хакерите принуждават уязвими устройства да се свързват с подчинени сървъри, получавайки достъп до чувствителни данни. Microsoft вече обяви намерението си да се откаже от NTLM в бъдещите версии на Windows 11.

Изследовател от ACROS Security идентифицира новата уязвимост, докато разработва микропач за известния бъг CVE-2024-38030, който засяга и темите за оформление и е описан по-рано от изследовател на Akamai. Уязвимостта водеше до изтичане на данни при преглеждане на мрежовите пътища в настройките на темата, като например тапет или изображение на бранда.

Новооткритата уязвимост от типа „нулев ден“ се оказа доста коварна: според изпълнителния директор на ACROS Security Митя Колшек самото показване на злонамерен файл във Windows Explorer е достатъчно, за да се прехвърлят автоматично потребителските данни, дори без да се стартира файлът или да се прилага директно темата.

Демонстрация на атаката върху най-новата към днешен ден версия на Windows 11 24H2 можете да видите във видеото по-долу:

Като временно решение ACROS Security предлага да се инсталира фирменото приложение-услуга 0patch, за да може да се използва тази своепбразна и неофициална кръпка на сигурността. Дали да направи това, или не, всеки потребител решава сам. Така или иначе, Microsoft вече потвърди проблема и обяви, че скоро ще бъде пусната актуализация.

Докато чакат официалния пач, потребителите могат да предприемат предпазните мерки, предложени от Microsoft, като например да блокират използването на NTLM хешове с помощта на груповата политика, както е описано в препоръките за CVE-2024-21320.

Според Колшек новата уязвимост не засяга Windows Server в стандартната конфигурация, тъй като там не се използват теми за оформление без инсталиране на допълнителния компонент Desktop Experience. Въпреки това изтичането на данни все още е възможно на сървърите, макар че това става, когато темата се прилага директно, а не когато се разглежда в Explorer.