Microsoft публикува на 14 юли 2020 г. поправка за критична уязвимост в Windows DNS Server, която стои в кода на системата от около 17 години. Проблемът засяга само сървърните версии на Windows, а не обикновените компютри с Windows 10, и администраторите трябва да го поправят час по-скоро.
Накратко
- Уязвимостта е с идентификатор CVE-2020-1350, наречена SIGRed, и е оценена с 10 от 10 по скалата CVSS.
- Засяга Windows DNS Server (версиите от Windows Server 2003 до 2019), не и Windows 10 и други клиентски версии.
- Microsoft я определя като „податлива на червеи“, но към момента няма данни за реални атаки; поправката вече е налична.
Какво се случва
Изследователи на компанията за сигурност Check Point откриха недостатъка и го съобщиха на Microsoft още през май 2020 г. Става дума за грешка от типа препълване на цяло число при обработката на специален запис за цифров подпис в DNS отговорите. Атакуващ, който изпрати внимателно подготвена заявка, би могъл да изпълни собствен код на сървъра с най-високи права. Атаката се извършва през TCP, а не през UDP, който DNS използва най-често.
Microsoft оцени уязвимостта с най-високата възможна стойност – 10 по общата система за оценка на уязвимости (CVSS). За сравнение, дефектите, които стояха зад атаката WannaCry и за които се смята, че е засегнала над 200 000 компютъра в 150 държави, бяха оценени по-ниско, с 8,5. Затова сравнението със сериозните червеи от последните години не е случайно.
Защо е толкова опасна
Microsoft я определя като „податлива на червеи“. Това означава, че при подходящ зловреден код тя би могла да се разпространява от един уязвим сървър към друг без никакво действие от страна на потребител. Според ръководителя на екипа на Check Point Омри Херсковичи нарушаването на DNS сървър е „много сериозно нещо“, а рискът за организация, която не поправи системите си, е пълно компрометиране на корпоративната мрежа.
DNS сървърът превежда имената на сайтовете в IP адреси и в повечето фирмени мрежи е основен компонент, често работещ на домейн контролера. Затова една успешна атака срещу него може да доведе до достъп до цялата Active Directory среда. Допълнителен проблем е възрастта на грешката: след като тя е стояла в кода около 17 години, според Check Point не е изключено и други да са я намирали преди изследователите.
Кой е засегнат
Засегнати са само системите, на които е пуснат Windows DNS Server. Това са сървърни версии на Windows от 2003 до 2019 година, включително варианти, обновявани с полугодишни версии. Windows 10 и другите клиентски версии не са уязвими, защото не изпълняват тази сървърна роля. Не са засегнати и DNS сървърите на други производители, както и DNS клиентите.
Според анализ на Forescout в данните на компанията се виждат над 7000 Windows сървъра с отворен TCP порт 53. Това показва, че проблемът не е само теоретичен, особено за мрежи, в които DNS е достъпен отвън.
Какво да направят администраторите
Най-важната стъпка е да се инсталира актуализацията за сигурност от юлския Patch Tuesday за съответната версия на Windows Server. Microsoft публикува и временно решение за случаите, в които актуализацията не може да се приложи веднага. То ограничава максималния размер на входящ TCP отговор на DNS чрез стойност TcpReceivePacketSize със стойност 0xFF00 в системния регистър, след което DNS услугата трябва да се рестартира.
Това е само заобикаляне, а не пълна поправка, затова Microsoft препоръчва пълна актуализация. Добра практика е и да се прегледа дали DNS сървърите изобщо трябва да са достъпни от интернет и дали защитната стена пропуска само нужния трафик. Допълнителна информация за практиките за защита ще намерите в нашата статия за сигурността на смарт устройствата и в прегледа на киберзаплахите и начините за защита.
Какво означава това за обикновените потребители
Ако ползвате само компютър с Windows 10 вкъщи, не е нужно да правите нищо извън обичайните актуализации. Уязвимостта не засяга домашните устройства. Новината обаче е добър повод да си зададем въпроса доколко можем да се доверяваме на софтуера, на който разчитаме, и колко важно е той да се обновява редовно. Всеки сървър, който забавя актуализациите, остава мишена, щом подробностите за дефекта станат публични.
Подобни случаи показват защо компаниите разчитат на независими изследователи за откриване на грешки. По-нов материал по темата – наградите за бъгове в Xbox – ще намерите в нашия сайт.
По-късно
Днес SIGRed се помни като една от най-сериозните уязвимости в Windows Server от 2020 г. Фактът, че беше разкрита отговорно и поправена преди публични атаки, е добър пример как координираното разкриване на проблеми помага на защитниците.
Тази статия е публикувана първоначално в СмартМакс на 15 юли 2020 г. и е възстановена от архива на сайта. Информацията отразява известното към датата на публикуване.
