Google descubre grave 0-day en el Kernel de Windows 10

Parece que tras el fallo en FreeType que afectaba a Chrome y descubierto también por Project Zero hace algunas semanas, ahora se hace público cómo conseguían los atacantes “escapar” y elevar privilegios. El fallo en concreto CVE-2020-17087, se encuentra en el driver Windows Kernel Cryptography (cng.sys). Se trata de un desbordamiento de enteros. Como es muy grave y ha sido encontrado siendo usado por atacantes, Google le ha dado siete días a Microsoft para corregirlo. Al no haberlo solucionado, ha ofrecido públicamente todos los detalles (prueba de concepto incluida) y espera que sea corregido el 10 de noviembre en el siguiente ciclo natural de parches.

• Afecta des de Windows 7 a Windows 10
  

0-day en el kernel de Windows está siendo explotado activamenteDescubierto un error 0-day sin parchear y explotado activamente que afecta al kernel del sistema operativo de Microsoft y permitiría escalar privilegios en los equipos comprometidos.

Mateusz Jurczyk y Sergei Glazunov del equipo Project Zero de Google han descubierto una vulnerabilidad en el kernel de Windows que estaría siendo explotada activamente en estos momentos. El fallo de seguridad se encuentra en la implementación del controlador de criptografía del kernel de Windows (cng.sys), que realiza un truncamiento incorrecto de enteros de 16 bits que podría provocar un desbordamiento del memoria intermedia. Esta vulnerabilidad ha sido identificada como CVE-2020-17087.

El controlador de criptografía del kernel de Windows expone un dispositivo CNG a programas de modo de usuario y admite una variedad de IOCTL con estructuras de entrada no triviales. Esto permitiría que un software malicioso o usuario infiltrado en el sistema pudiese explotar el fallo para lograr elevar sus privilegios y obtener acceso de administrador en los equipos comprometidos.

Project Zero reveló a Microsoft de manera privada los detalles de la vulnerabilidad el pasado 22 de octubre. Sin embargo decidió revelarlos públicamente tan solo una semana después, debido a que se detectó que el error de programación estaba siendo explotado por malhechores.

Los investigadores de Google han elaborado una prueba de concepto (PoC) probada en Windows 10 1903 (64 bits). Sin embargo declaran que las versiones desde Windows 7 hasta la última versión liberada de Windows 10 se encuentran afectadas, ya que el fichero ‘cng.sys’ parece haber estado presente desde al menos Windows 7. Esto indicaría que otras versiones anteriores, y ya sin soporte oficial, también podrían verse afectadas por la vulnerabilidad.

En un comunicado, Microsoft ha declarado que la compañía ya se encuentra trabajando en una solución a esta vulnerabilidad. Por tanto, se espera un parche para el martes 10 de noviembre de 2020, dentro del ciclo habitual de «parches de seguridad» de la empresa.

Más información:
https://unaaldia.hispasec.com/2020/10/0-day-en-el-kernel-de-windows-esta-siendo-explotado-activamente.html
CyberSecurityPulse (by ElevenPaths)