V54.5.90 esanti DLL įpurškimo ir kodo vykdymo pažeidžiamumas leidžia įsilaužėliams platinti kenkėjiškas programas

„Dropbox“

Debesyse pagrįstame saugyklos sprendime: „Dropbox“ rastas DLL užgrobimo injekcijos ir kodo vykdymo pažeidžiamumas. Pažeidžiamumas pirmą kartą buvo pastebėtas šios savaitės pradžioje, kai buvo nustatyta, kad jis paveikė „Dropbox“ 54.5.90 versiją. Nuo to laiko pažeidžiamumas buvo tiriamas ir tiriamas, todėl vartotojai turi saugotis informacijos priešakyje.

Remiantis „ZwX Security Researcher“ paskelbta informacija apie išnaudojimą, nustatyta, kad pažeidžiamumas egzistuoja „DropBox for Windows“, programos versijoje 54.5.90, kaip buvo minėta anksčiau. Pažeidžiamumas atsiranda dėl kilpų skylių ir neatitikimų 4 konkrečiose bibliotekose. Šios bibliotekos yra: cryptbase.dll, CRYPTSP.dll, msimg32.dll ir netapi32.dll. Pažeidžiamumai atsiranda dėl laisvės šiose bibliotekose ir grįžta į poveikį bei sukelia tų pačių bibliotekų veikimo sutrikimus, o tai lemia bendrą „Dropbox“ debesies paslaugos atkūrimą.

Pažeidžiamumą galima nuotoliniu būdu naudoti. Tai leidžia neautentifikuotam kenksmingam užpuolikui išnaudoti DLL pakrovimo pažeidžiamumą modifikuojant atitinkamus DLL skambučius, kad piktavališkai sukurtas DLL failas būtų klaidingai atidarytas su padidintais leidimais (kaip suteikta sistemos DLL failams). Vartotojas, kurio įrenginyje naudojamas šis išnaudojimas, to nesupras, kol procesas nebus panaudotas kenkėjiškai programai įterpti į sistemą. DLL įpurškimas ir vykdymas vyksta fone nereikalaujant jokio vartotojo įvedimo norint paleisti savavališką kodą.

Norėdami atkurti pažeidžiamumą, koncepcijos įrodymas reiškia, kad pirmiausia reikia sujungti kenkėjišką DLL failą, o tada pervadinti, kad atrodytų kaip tradicinis „Dropbox DLL“ failas, kurio paprastai paslauga iškviečia sistemoje. Tada šį failą reikia nukopijuoti į „Dropbox“ aplanką „Windows C“ diske, esantį Programos failai. Kai „Dropbox“ bus paleista šiame kontekste, ji iškvies manipuliuojamo bendravardės DLL failą ir, kai kenkėjiškas failas bus įvykdytas vietoje supainiojus pavadinimą, bus paleistas sukurto DLL kodas, leidžiantis nuotoliniam užpuolikui pasiekti sistemą toliau atsisiųsti ir platinti kenkėjiškas programas.

Deja, norint išspręsti visa tai, pardavėjas dar nepateikė jokių švelninimo veiksmų, metodų ar atnaujinimų, tačiau atnaujinimo galima tikėtis labai greitai dėl kritinio tokio išnaudojimo rizikos laipsnio.