Um investigador descobriu uma falha denominada PhantomRPC que a Microsoft não considera uma vulnerabilidade para a qual pretenda lançar uma correção.
O PhantomRPC envolve Windows A Remote Procedure Call (RPC, na sigla em inglês) é o núcleo da comunicação entre Windows processos. A vulnerabilidade permite que um processo com direitos de representação eleve os seus privilégios para SYSTEM ao fazer-se passar por clientes com elevados privilégios que se ligam a um servidor RPC falso.
O investigador apresentou um relatório técnico detalhado que descreve cinco vias de exploração, incluindo coação, interação do utilizador ou serviços em segundo plano. Alertou que os vetores potenciais são «efetivamente ilimitados», uma vez que o problema de fundo é de natureza arquitetónica.
A Microsoft, no entanto, classificou a falha como «moderada», recusou a recompensa, não atribuiu um CVE (um número na lista de Vulnerabilidades e Exposições Comuns) e encerrou o caso sem registo. A sua posição é que a técnica requer um computador já comprometido e não permite o acesso não autenticado ou remoto.
Os especialistas discordaram da avaliação da Microsoft. A sua preocupação é que a Microsoft esteja a minimizar uma técnica sistémica de escalonamento de privilégios locais que existe em todos os sistemas suportados. Windows versões.
A questão
No cerne desta questão está o facto de Windows O ambiente de execução RPC não verifica suficientemente se o servidor ao qual um cliente com elevados privilégios se liga é o endpoint legítimo pretendido.
Se um servidor RPC legítimo não estiver acessível (por exemplo, porque o serviço foi interrompido, estava mal configurado, não estava instalado ou devido a uma condição de corrida), um atacante com o privilégio SeImpersonatePrivilege pode criar um servidor RPC falso que «preencha a lacuna», utilizando a mesma interface e o mesmo ponto de extremidade.
Quando um utilizador SYSTEM ou com privilégios elevados se liga a este servidor falso, utilizando um nível de representação que permite ao servidor assumir a identidade do utilizador, o atacante pode chamar RpcImpersonateClient e elevar imediatamente os seus privilégios para o nível SYSTEM.
Do ponto de vista da Microsoft, a capacidade de executar um servidor RPC não autorizado desta forma enquadra-se na categoria de «já comprometido».
Privilégio de suplantar identidade
Para compreender melhor a questão, precisamos de analisar o que o SeImpersonatePrivilege faz.
Basicamente, o SeImpersonatePrivilege é o Windows Permissão que permite a um programa "fingir ser você" depois de já ter feito login, para que possa realizar ações em seu nome utilizando o seu nível de acesso.
É necessário porque muitos serviços do sistema e aplicações do tipo servidor (partilha de ficheiros, servidores RPC, servidores COM, aplicações web) têm de realizar ações em nome de um utilizador, como ler os seus ficheiros ou aplicar políticas de grupo.
Se um invasor obtiver esse privilégio, poderá criar um serviço ou servidor falso e aguardar que uma conta com mais privilégios se comunique com ele. Quando esse serviço com privilégios elevados se ligar, o invasor poderá obter o seu token de segurança e fazer-se passar por ele, passando efetivamente de uma conta com privilégios reduzidos para o controlo total do sistema nessa máquina.
Proteção
Um porta-voz da Microsoft emitiu a seguinte declaração:
«Esta técnica requer um computador já comprometido e não permite o acesso não autenticado ou remoto. Qualquer atualização representa um equilíbrio entre a compatibilidade existente e o risco para o cliente, e continuamos empenhados em reforçar continuamente a segurança dos nossos produtos. Recomendamos que os clientes sigam as melhores práticas de segurança, incluindo a limitação dos privilégios administrativos e a aplicação do princípio do privilégio mínimo.»
Na nossa opinião, mitigar adequadamente o PhantomRPC exigiria alterações profundas na arquitetura RPC, o que é difícil de implementar na infraestrutura existente. Windows versões sem quebrar a compatibilidade. Talvez seja algo que veremos em versões futuras, dada a escala da mudança necessária.
O que pode fazer:
- Como o PhantomRPC é apenas uma peça numa cadeia maior, é ainda muito importante manter Windows Atualizado.
- Utilize a sua conta de administrador com moderação e apenas para as tarefas que exijam esse tipo de privilégio.
- Utilize uma solução antimalware atualizada e em tempo real, capaz de detetar e bloquear atividades suspeitas de escalada de privilégios.
- Evite desativar ou «fortalecer» serviços de forma indiscriminada, uma vez que um serviço malicioso poderá ocupar o seu lugar.
Para responder à pergunta do título: parece ser uma «funcionalidade» que pode ser alvo de abusos de várias formas; uma funcionalidade que já ultrapassou o seu modelo de ameaça original. Os responsáveis pela segurança têm de tratá-las como riscos contínuos, em vez de CVEs pontuais.
«Uma das melhores suites de cibersegurança do mundo.»
Segundo a CNET.Leia a análise deles →
