Вчера вышел традиционный ежемесячный бюллетень Patch Tuesday за февраль 2015 года от компании Microsoft со списком закрытых уязвимостей. Этот бюллетень отличается от остальных. В нём есть три критичные уязвимости, но одна особенная: MS15-011. Это баг в Active Directory с возможностью удалённого исполнения кода. Причём уязвимость находится в дизайне системы и присутствовала там с самого начала, то есть с 2000 года (вроде, эксплоитов не было).

Джефф Шмидт из компании JAS Global Advisors сообщили в найденном баге в январе 2014 года. Специалисты Microsoft оказались настолько шокированы этой информацией, что им пришлось действовать очень осторожно, говорит Шмидт. Быстро, но осторожно. Поэтому срок 12 месяцев он считает вполне нормальным, всё сделано правильно.

Шмидт называет уязвимость JASBUG (по странному совпадению с компанией, которую он возглавляет), потому что сейчас всем багам такого масштаба принято давать имена.

Так в чём же дело? Итак, Active Directory позволяет администраторам использовать групповые политики для обеспечения единообразия настройки пользовательской рабочей среды, разворачивать программное обеспечение на множестве компьютеров через групповые политики, устанавливать обновления операционной системы, прикладного и серверного программного обеспечения на компьютерах в сети, используя службу обновления. Active Directory хранит данные и настройки среды в централизованной базе данных и связывается с клиентами, где Active Directory встроена в ОС Windiows.

Так вот, именно в этой системе оказался баг. Клиентские машины, которые взаимодействовали с централизованной базой Active Directory, зачастую не выполняли корректную проверку аутентичности сервера, от которого получали команды. Из-за некорректной проверки имени DNS злоумышленник мог перенаправить трафик, который предназначался серверу Active Directory, на посторонний сервер и выступить от имени оригинального сервера Active Directory.

Поскольку это атака типа MiTM, то она особенно опасна, если жертва находится в удалённости от центрального сервера своего предприятия, а не в локальной сети вместе с ним. Например, использует публичный хотспот.

Если бы уязвимость заметила Google, в которой отдел хакеров гуманно даёт компаниям 90 дней, а потом выкладывает информацию в открытый доступ, то возникли бы серьёзные проблемы. Поэтому Редмонду остаётся только благодарить Джеффа Шмидта за его спокойствие в течение года.

8 комментариев

  1. 11.02.2015 at 06:59

    Быстро, но осторожно. Поэтому срок 12 месяцев..

    Да, осторожно. Но не быстро.

    • 11.02.2015 at 11:58

      Уму непостижимо, как можно исправлять баг 12 месяцев. За такие сроки софт реально с нуля переписать.

      • 11.02.2015 at 13:48

        Вам же виднее. Вы же не одну ос написали в свое время…

        • 11.02.2015 at 14:53

          Конечно, целую ОС с нуля я не писал, но кое-какие достижения имеются. Делал и обычное ПО, и драйверы, много копался в чужом. Однажды, смеха ради, написал некое подобие многопоточного ядра в Turbo Pascal 7.0. Так что опыт есть.

        • https://vk.com/publicshadowhd

          11.02.2015 at 21:46

          Причем здесь написание целой ОС? Это вообще утилита, за год большой корпорации написать её это как раз плюнуть (а то как они такие большие апдейты новым ОС делают-то). А исправить баг, который практически пальцем показано где засел… ну не знаю, зависит разве что от качества кода и тем, кто его набирает, конечно

  2. 11.02.2015 at 12:30

    > сообщили в найденном баге

  3. 12.02.2015 at 10:08

    Microsoft год закрывала кошмарную уязвимость

    Кошмарная уязвимость, отсюда и кошмарные сроки. Чего так все удивляются, непонятно.

Оставить мнение