Lỗ thủng của Windows được phát hiện sau 17 năm - Cập nhật

Windows hole discovered after 17 years - Update

20 January 2010, 13:36

Theo: http://www.h-online.com/security/news/item/Windows-hole-discovered-after-17-years-Update-908917.html

Bài được đưa lên Internet ngày: 20/01/2010

Lời người dịch: Chúng ta từng được biết thông tin về việc số lượng lỗi sống còn trong hệ điều hành phần mềm tự do nguồn mở Red Hat Enterprise Linux cả phiên bản 4.0 và 5.0 là bằng 0, còn bây giờ ta biết thêm rằng trong Microsoft Windows có lỗi đã 17 năm nay bây giờ mới được phát hiện.

Microsoft không có được thời khắc dễ dàng những ngày này. Bổ sung cho lỗ thủng còn chưa được vá trong Internet Explorer, một lỗ thủng bây giờ được phát hiện trong Windows cho phép người sử dụng với quyền hạn chế leo lên được các quyền ưu tiến của họ ở mức hệ thống - và điều này được tin là có thể có trên tất cả các phiên bản 32 bit của Windows từ Windows NT 3.1 cho tới, và bao gồm cả Windows 7. Trong khi tính có thể bị tổn thương này hình như sẽ ảnh hưởng tới những người sử dụng ở nhà chỉ là không đáng kể, thì các quản trị viên ở các mạng doanh nghiệp có lẽ sẽ phải bận rộn suốt tuần này.

Vấn đề này được gây ra bởi những lỗi trong Máy Ảo DOS (VDM) được giới thiệu vào năm 1993 để hỗ trợ các ứng dụng 16 bit (các ứng dụng ở chế độ thực cho 8086). VDM được dựa trên chế độ Ảo 8086 (VM86) trong các vi xử lý 80386 và, chặn các thủ tục phần cứng như các lời gọi BIOS. Thành viên đội an ninh của Google Tavis Ormandy đã thấy vài chỗ bị tổn thương trong triển khai này mà chúng cho phép một chương trình 16 bit không có quyền sẽ điều hành được kho của nhân đối với mỗi quá trình thông qua một số lượng các mẹo. Điều này cho phép một cách tiềm tàng những kẻ tấn công chạy các mã nguồn ở mức ưu tiên của hệ thống.

Ormandy cũng đã đưa ra một khai thác phù hợp mà nó hoạt động trong Windows XP, Windows Server 2003 và 2008, Windows Vista và Windows 7. Khi được thử nghiệm bởi The H's associates at heise Security, sự khai thác đã mở một lời nhắc lệnh theo ngữ cảnh của hệ thống, mà nó có mức quyền cao nhất, trong Windows XP và Windows 7. Chưa từng có bản vá nào sẵn sàng, dù Ormandy nói rằng Microsoft đã được thông tin về lỗ hổng này từ giữa năm 2009. Lập trình viên này đã quyết định công bố thông tin này vì, theo ý kiến của anh ta, có một cách khắc phục đơn giản: vô hiệu hóa hệ thống phụ của MS-DOS.

Microsoft isn't having an easy time of it these days. In addition to the unpatched hole in Internet Explorer, a now published hole in Windows allows users with restricted access to escalate their privileges to system level – and this is believed to be possible on all 32-bit versions of Windows from Windows NT 3.1 up to, and including Windows 7. While the vulnerability is likely to affect home users in only a minor way, the administrators of corporate networks will probably have their hands full this week.

The problem is caused by flaws in the Virtual DOS Machine (VDM) introduced in 1993 to support 16-bit applications (real mode applications for 8086). VDM is based on the Virtual 8086 Mode (VM86) in 80386 processors and, among other things, intercepts hardware routines such as BIOS calls. Google security team member Tavis Ormandy has found several vulnerabilities in this implementation that allow an unprivileged 16-bit program to manipulate the kernel stack of each process via a number of tricks. This potentially enables attackers to execute code at system privilege level.

Ormandy has also published a suitable exploit which functions under Windows XP, Windows Server 2003 and 2008, Windows Vista and Windows 7. When tested by the The H's associates at heise Security, the exploit opened a command prompt in the system context, which has the highest privilege level, under Windows XP and Windows 7. No patch has become available, although Ormandy reports that Microsoft was already informed of the hole in mid 2009. The developer decided to publish the information regardless because, in his opinion, there is a simple workaround: to disable the MS-DOS subsystem.

Việc khắc phục này đòi hỏi người sử dụng phải khởi tạo trình soạn thảo chính sách nhóm và kích hoạt lựa chọn "Prevent access to 16-bit applications" (Ngăn cản truy cập tới các ứng dụng 16 bit) trong khu Computer Configuration\Administrative Templates\Windows Components\Application Compatibility. Khi được thử nghiệm với những thiết lập này bởi đội An ninh của heise, khai thác này không còn hoạt động được nữa. Các thiết lập này được cho là không gây ra bất ký vấn đề tương thích chủ chốt nào cho hầu hết những người sử dụng trong khi các ứng dụng 16 bit đang được sử dụng.

Cập nhật - Lựa chọn ở trên chỉ sẵn sàng thông qua trình soạn thảo chính sách nhóm trên Windows 2003. Một số phiên bản của Windows không có trình soạn thảo chính sách nhóm. Như một giải pháp thay thế, người sử dụng cũng có thể tạo một khóa đăng ký trong \HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\AppCompat với một giá trị của D-Word của VDMDissallowed = 1. Trong Windows XP, để ngăn ngừa hệ thống khỏi bị tổn thương đối với khai thác này, người sử dụng có thể đưa vào dòng sau đây:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\AppCompat]

"VDMDisallowed"=dword:00000001

vào một tệp được gọi là vdmdisallow.reg và nháy đúp vào tệp này. Windows sẽ sau đó tự động nhập khóa (các quyền quản trị được yêu cầu để tiến hành hành động này).

The workaround requires users to start the group policy editor and enable the "Prevent access to 16-bit applications" option in the Computer Configuration\Administrative Templates\Windows Components\Application Compatibility section. When tested with these settings by the heise Security team, the exploit no longer functioned. The settings reportedly don't cause any major compatibility problems for most users while no 16-bit applications are being used.

Update - The above option is only available through the group policy editor on Windows 2003 systems. Some versions of Windows do not include a group policy editor. As an alternative, users can also create a registry key under \HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\AppCompat with a D-Word value of VDMDissallowed = 1. Under Windows XP, to prevent the system from being vulnerable to the exploit, users can place the following text:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\AppCompat]

"VDMDisallowed"=dword:00000001

into a file called vdmdisallow.reg and double click the file. Windows will then automatically import the key (admin rights are required to perform this action).

Dịch tài liệu: Lê Trung Nghĩa

letrungnghia.foss@gmail.com