Для критической уязвимости в .NET опубликован PoC-эксплоит

Исправленная на прошлой неделе червеобразная уязвимость SigRed в Windows Server 2003-2019 затмила другие опасные уязвимости, также исправленные Microsoft в рамках июльского «вторника исправлений». К таковым в частности относится уязвимость CVE-2020-1147 в Microsoft SharePoint, позволяющая удаленно выполнить код. Учитывая, что на этой неделе для нее был опубликован PoC-эксплоит, пользователям настоятельно рекомендуется установить обновление безопасности от Microsoft.

Уязвимость присутствует в двух компонентах .NET (DataSet и DataTable), использующихся для управления наборами данных, и затрагивает Microsoft SharePoint, .NET Framework и Visual Studio. Проблема связана с недостаточной проверкой источника пометки входного XML-файла. Проэксплуатировав уязвимость, злоумышленник может выполнить произвольный код в контексте процесса, ответственного за десериализацию содержимого XML-файла. Для этого он должен загрузить на сервер, использующий один из уязвимых продуктов для обработки содержимого XML-файла, особым образом сконфигурированный документ.

Проблема затрагивает следующие продукты:

.NET Core;

.NET Framework;

SharePoint Enterprise Server (2013 и 2016);

SharePoint Server (2010 и 2019);

Visual Studio (2017 и 2019).

Исследователь безопасности Стивен Сили (Steven Seeley) решил проэксплуатировать уязвимость на практике и продемонстрировал , как через SharePoint Server можно выполнить произвольный код с правами непривилегированного пользователя. Кроме того, Сили представил свой PoC-эксплоит.

Исследователи безопасности сразу же забили тревогу и призвали системных администраторов сделать устранение данной уязвимости приоритетной задачей.

«Я настаиваю на том, что в первую очередь должна быть исправлена CVE-2020-1147, а не эта червеобразная штука в DNS (уязвимость SigRed – ред.). Эксплуатация эмпирической десериализации куда более вероятна по сравнению с уязвимостями повреждения памяти, которые не эксплуатировались до выхода патча», - считает специалист Project Zero Бен Хоукс (Ben Hawkes).