Ein Windows-Downgrade-Angriff droht, Systeme offenzulegen, die für ältere Schwachstellen gepatcht wurden

08. August 2024Ravi LakshmananSicherheit/Schwachstellen in Windows

Microsoft sagte, es entwickle Sicherheitsupdates, um zwei Schwachstellen zu schließen, die angeblich missbraucht werden könnten, um Windows-Downgrade-Angriffe zu starten und aktuelle Versionen von Betriebssystemdateien durch ältere Versionen zu ersetzen.

Die Schwachstellen sind unten aufgeführt:

• CVE-2024-38202 (CVSS-Score: 7,3) – Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Windows Update-Paket
• CVE-2024-21302 (CVSS-Score: 6,7) – Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Kernel Secure Windows-Modus

Der Dank für die Entdeckung und Meldung der Schwachstellen geht an den SafeBreach Labs-Forscher Alon Leviev, der die Ergebnisse in vorstellte Black Hat USA 2024 Und Def Con 32.

CVE-2024-38202, das in der Windows-Backup-Komponente verankert ist, ermöglicht es „einem Angreifer mit grundlegenden Benutzerrechten, zuvor geminderte Schwachstellen wieder einzuführen oder bestimmte Virtualization Based Security (VBS)-Funktionen zu umgehen“, so der Technologieriese.

Es wurde jedoch darauf hingewiesen, dass ein Angreifer, der die Sicherheitslücke ausnutzen möchte, einen Systemadministrator oder einen Benutzer mit delegierten Berechtigungen dazu überreden müsste, eine Systemwiederherstellung durchzuführen, was unbeabsichtigt die Sicherheitslücke auslöste.

Die zweite Sicherheitslücke bezieht sich auch auf eine Privilegieneskalationssituation auf Windows-Systemen, die VBS unterstützen, was es einem Angreifer effektiv ermöglicht, aktuelle Versionen von Windows-Systemdateien durch ältere Versionen zu ersetzen.

Die Folgen von CVE-2024-21302 bestehen darin, dass es als Waffe eingesetzt werden kann, um zuvor behobene Sicherheitslücken wieder einzuführen, einige VBS-Funktionen zu umgehen und durch VBS geschützte Daten zu extrahieren.

Leviev, der ein Tool namens Windows Downdate beschrieb, Er sagte Es kann verwendet werden, um „einen vollständig gepatchten Windows-PC anfällig für Tausende früherer Schwachstellen zu machen, hartnäckige Schwachstellen in undurchdringliche Schwachstellen umzuwandeln und den Begriff ‚vollständig gepatcht‘ auf jedem Windows-PC der Welt bedeutungslos zu machen.“

Leviev fügte hinzu, dass das Tool „den Windows-Update-Prozess kapern kann, um nicht erkennbare, unsichtbare, dauerhafte und irreversible aktualisierte Versionen der Kernkomponenten des Betriebssystems zu erstellen – was es mir ermöglichte, Berechtigungen zu erweitern und Sicherheitsfunktionen zu umgehen.“

Darüber hinaus ist Windows Downdate in der Lage, Überprüfungsschritte wie die Integritätsprüfung und die Durchsetzung vertrauenswürdiger Installationsprogramme zu umgehen, wodurch ein effektives Downgrade kritischer Betriebssystemkomponenten, einschließlich Dynamic Link Libraries (DLLs), Treibern und des NT-Kernels, möglich wird.

Darüber hinaus können Probleme ausgenutzt werden, um den isolierten Benutzermodusprozess in Credential Guard, Secure Kernel und dem Hypervisor von Hyper-V herabzustufen, um frühere Sicherheitslücken bei der Rechteausweitung aufzudecken und VBS sowie Funktionen wie Hypervisor Protected Code Integrity (HVCI) zu deaktivieren. .

Das Endergebnis ist, dass ein vollständig gepatchtes Windows-System möglicherweise für Tausende früherer Schwachstellen anfällig wird und behobene Schwachstellen in ungepatchte Schwachstellen umgewandelt werden.

Diese Reduzierungen haben den zusätzlichen Effekt, dass das Betriebssystem meldet, dass das gesamte System auf dem neuesten Stand ist. Gleichzeitig wird verhindert, dass zukünftige Updates installiert werden und diese nicht von Wiederherstellungs- und Scan-Tools erkannt werden.

„Der Downgrade-Angriff, den ich auf den Virtualisierungscluster in Windows durchführen konnte, war aufgrund eines Designfehlers möglich, der es den am wenigsten privilegierten virtuellen Vertrauensebenen/-ringen ermöglichte, Komponenten zu aktualisieren, die sich in privilegierteren virtuellen Vertrauensebenen/-ringen befanden“, sagte Leviev.

„Das war sehr überraschend, wenn man bedenkt, dass die VBS-Funktionen von Microsoft erst 2015 angekündigt wurden, was bedeutet, dass die entdeckte Angriffsfläche schon seit fast einem Jahrzehnt existiert.“