Недоисправленная 0-day уязвимость в Windows получила новый PoC-эксплоит

В июне нынешнего года компания Microsoft выпустила исправление для уязвимости в Windows, позволяющей злоумышленникам повысить свои права на скомпрометированной системе до уровня ядра. Однако патч не сработал. Проблему, которую квалифицированные хакеры эксплуатировали еще в мае, до выхода исправления, по-прежнему можно использовать в атаках (правда, немного другим способом) с помощью нового PoC-эксплоита.

Исследовательница безопасности проекта Google Project Zero Мэдди Стоун (Maddie Stone) обнаружила , что июньское исправление от Microsoft не исправляет уязвимость CVE-2020-0986 полностью, и с некоторыми модификациями ее все еще можно эксплуатировать. С ее помощью злоумышленники могут повысить свои привилегии до уровня ядра путем отправки параметра не pointer, как раньше, а offset.

Как пояснила Стоун, оригинальная проблема представляла собой уязвимость произвольного разыменования указателя и обеспечивала атакующему контроль над указателями “src” и “dest” на функцию memcpy. Патч от Microsoft оказался недостаточно эффективным, поскольку менял указатели на offset, и атакующий по-прежнему мог контролировать параметры функции.

Исследовательница представила короткое техническое описание эксплуатации уязвимости, которая теперь получила идентификатор CVE-2020-17008 , и опубликовала PoC-эксплоит, представляющий собой адаптированную версию эксплоита для оригинальной уязвимости от «Лаборатории Касперского».

Microsoft получила сообщение о новой уязвимости 24 сентября и подтвердила проблему днем позже, присвоив ей идентификатор CVE-2020-17008. Компания запланировала выпуск патча на ноябрь 2020 года, но из-за выявленных на этапе тестирования проблем перенесла выпуск на следующий «вторник исправлений» 12 января 2021 года.