Vulnerabilidades de driver do Windows expostas na conferência de segurança DefCon

Durante a 27ª conferência anual de segurança de computadores da DefCon, os pesquisadores que trabalham com Eclypsium expuseram sérias vulnerabilidades que descobriram em uma variedade de drivers do Windows. A principal falha descrita no relatório era que os drivers permitiam que aplicativos executados com baixos privilégios na parte do espaço do usuário do sistema obtivessem acesso não autorizado ao kernel do sistema. Os drivers operam em um nível diferente do software comum, como, por exemplo, o Microsoft Office, por isso a falha de design nas poucas dezenas de drivers mencionadas no relatório permitiu que atores ruins passassem despercebidos, explorando a falha no design do driver e obtendo acesso total para o sistema comprometido. Todos os drivers problemáticos foram drivers que foram assinados digitalmente pela Microsoft.

Mickey Shkatov, um dos pesquisadores da Eclypsium no painel DefCon, atribuiu as falhas resultantes dos drivers às práticas de codificação inadequadas de parte dos fabricantes de hardware e à atenção insuficiente dada a possíveis problemas de segurança. Shkatov explicou que os drivers são cada vez mais codificados de uma maneira que lhes permite "executar ações arbitrárias em nome do espaço do usuário", em vez de se limitar estritamente ao objetivo muito específico a que servem.

Os pesquisadores também descreveram isso como um problema muito sério, porque, por um lado, os fabricantes de hardware assumem que a Microsoft está procurando esse tipo de problema antes de assinar drivers digitalmente, enquanto, por outro lado, a Microsoft espera que os fornecedores usem códigos seguros em seus computadores. lançamentos.

Os fornecedores de hardware que fizeram parte da lista de drivers impactados incluem grandes nomes como NVidia, AsusTek, AMD, EVGA, Gigabyte, Intel e Toshiba. Todos esses fornecedores foram notificados pela equipe de pesquisa e enviaram atualizações de driver. Para diminuir ainda mais qualquer dano potencial aos sistemas que executam drivers vulneráveis, a Microsoft aproveitará os recursos HVCI (Windows 10 Hypervisor Code Integrity) para colocar os drivers problemáticos relatados em uma lista negra.

Pânico excessivo sobre o problema do driver não é garantido. Como os pesquisadores apontaram, para obter acesso ao kernel do sistema, um ator ruim precisará comprometer o sistema de destino antecipadamente - o driver em si não pode ser usado como um ponto de entrada, mas como uma vala mais profunda que um objeto ruim. ator que já se infiltrou no sistema pode cavar.