Microsoft проводит расследование незакрытой уязвимости в IE, позволяющей
обойти ASLR и DEP на Windows 7.
Специалисты по защите информации выпустили код, который позволяет обойти
встроенные в Windows 7 системы защиты за счет незакрытой уязвимости в Microsoft
Internet Explorer. Microsoft сообщила, что они разбираются с этой проблемой.
"Microsoft проводит расследование по сообщениям о потенциальной уязвимости в
Internet Explorer", - заявил Дейв Форстром, директор Microsoft Trustworthy
Computing. "На данный момент мы не располагаем информацией ни об атаках с
использованием этой уязвимости, ни о каком-либо влиянии её на потребителя".
Ошибка была найдена в начале этого месяца, когда французская компания по
защите информации Vupen сообщила об обнаружении уязвимости в HTML-движке IE,
которая может быть использована в момент обработки браузером CSS-скриптов,
использующих "@import"-правила. 9 декабря Vupen выпустила
рекомендации, которые подтвердили наличие ошибки в IE8 на Windows XP, Vista
и Windows 7, а также на IE6 и IE7 на XP. Ошибка срабатывает при посещении сайта
с уязвимостью, после чего злоумышленники могут получить доступ к информации на
компьютере или распространять через него вредоносное ПО.
Несмотря на то, что Vupen написал эксплоит для тестирования возможностей
взлома, доступ к нему получили только клиенты компании.
Другие компании вынесли ошибку в IE на суд общественности во вторник. Компания
Abysssec Security Research запостила короткое демо-видео атаки, и исследователь
безопасности Джошуа Дрейк добавил рабочий эксплоит в тестовый набор на
Metasploit.
Дрейк благодарил китайский блог по защите информации за обнаружение
уязвимости в прошлом месяце.
В отличие от более ранних ошибок в IE, эта работает на самом последнем браузере
IE8, на последней ОС от Microsoft – Windows 7, в обход новейших защит от
эксплоитов: DEP и ASLR.
По словам HD Мура, начальника по безопасности в Rapid7 и создателе Metasploit,
код Дрейка хорошо работает на IE8 и Windows 7, но чуть менее надежен на Windows
XP.
Стоит отметить, как эксплоит обходит DEP и ASLR, говорит Мур. Он полагается на
ошибку в Windows, которая позволяет хакеру загрузить в систему старые DLL .NET,
в которых ASLR ещё не включена.
"Именно возвратно-ориентированная атака с помощью .NET позволяет эксплоиту
обойти ASLR и DEP", - ответил Мур по e-mail. "И этот подход будет работать до тех
пор, пока Microsoft не заблокирует погрузку старых библиотек .Net".
Впервые способ атаки через .NET был озвучен двумя исследователями из McAfee,
Xiao Chen и Jun Xie, на конференции в Пекине в прошлом августе. Мур приписывает
обнаружение подхода Xiao Chen-у.
Хотя Microsoft и потратила немало времени на защиту ASLR и DEP, она признает,
что исследователи находят способы обойти обе защиты через уязвимости в ASLR.
Форстром из Microsoft не сообщил точной даты появления патча, но сказал, что
компания "предпримет меры" как только завершится расследование.
