Segundo Patch da Microsoft para RDP que não funciona corretamente

26/05/2020 mindsecblog Notícias 1

Segundo Patch da Microsoft para RDP que não funciona corretamente. Patch da Microsoft para falha RDP deixa espaço para outros ataques.

O patch lançado pela Microsoft em fevereiro para corrigir uma correção anterior – com problemas – lançada em agosto de 2019por uma falha de segurança no protocolo RDP (Remote Desktop Protocol) também não funciona totalmente.

Como resultado, os invasores ainda podem tirar proveito do problema subjacente original para acessar informações confidenciais em um sistema, modificar arquivos críticos, roubar arquivos de senha, expor o código-fonte dos aplicativos da Web e realizar outras tarefas maliciosas.

A Check Point, que descobriu a vulnerabilidade original e também os problemas nos dois patches emitidos pela Microsoft para resolver a falha, pediu aos desenvolvedores de software e pesquisadores de segurança que estejam cientes do problema e garantam que seus próprios projetos de software sejam corrigidos manualmente.

Segundo a empresa, embora o patch de fevereiro elimine a vulnerabilidade no próprio cliente RDP, ele não corrige o problema em uma API (Application Programming Interface) que desencadeou o problema o primeiro problema. O fornecedor de segurança disse que entrou em contato com a Microsoft sobre o problema após analisar o segundo patch da empresa, mas não recebeu nenhum comentário da empresa.

“A equipe de TI de grandes empresas que usam o Windows deve instalar o Patch de fevereiro da Microsoft ( CVE 2020-0655 ) para garantir a proteção do cliente RDP“, afirmou a Check Point em comunicado. Enquanto isso, os desenvolvedores precisam entender que todos os programas que incluem a função da API em questão ainda estão vulneráveis a um ataque de percurso.

“Queremos que os desenvolvedores estejam cientes dessa ameaça, para que possam revisar seus programas e aplicar manualmente um patch contra ela“, observou a Check Point.

Os bugs originais no RDP que a Check Point divulgou pela primeira vez na Black Hat USA 2019 basicamente deram aos atacantes uma maneira de realizar o que o fornecedor de segurança descreveu como um ataque RDP reverso. O RDP essencialmente oferece aos administradores do Windows e até usuários individuais uma maneira de conectar e controlar outro computador Windows remotamente por vários motivos legítimos e frequentemente usados. Em um cenário típico, um sistema cliente RDP se conectaria e controlaria um servidor RDP. A Check Point descobriu que as vulnerabilidades poderiam ser usadas para reverter o fluxo, para que o servidor RDP controlasse o cliente RDP, definindo o cenário para todo tipo de confusão.

Quando a Microsoft emitiu um patch para o problema ( CVE-2019-0887 ), os pesquisadores da Check Point descobriram que poderiam ignorar a correção e recriar a situação inversa de RDP novamente. Isso levou a Microsoft a emitir uma segunda correção para o problema como parte das atualizações mensais de patches da empresa em fevereiro. A Check Point descobriu que, embora o segundo patch funcionasse como anunciado para atenuar o problema de reversão do RDP, ele ainda deixava aberta a possibilidade de os invasores “atravessarem” os diretórios em um sistema vítima e acessar, ler e manipular arquivos para os quais não deveriam ter acesso normalmente, em ataque chamado de path-traversal.

Ironicamente o problema tinha a ver com uma API que a Microsoft recomenda como uma prática recomendada para impedir o path-traversal, de acordo com o Check Point.

“Nas práticas seguras de codificação, ao encontrar um caminho para um arquivo fornecido pelo usuário, o desenvolvedor precisa garantir que o caminho … seja representado de uma única maneira, a fim de validar que se refere a um local permitido“, diz Omri Herscovici, líder da equipe de pesquisa de vulnerabilidades da Check Point.

Os desenvolvedores do Windows fazem isso usando uma API recomendada pela Microsoft chamada “PathCchCanonicalize“. “Descobrimos que a função ‘PathCchCanonicalize’ do Windows pode ser facilmente ignorada quando um invasor está usando ‘/’ em vez de ‘\’ ao escrever um caminho“, diz Herscovici.

O fracasso da Microsoft em resolver esse problema é o que agora oferece aos atores de ameaças uma via para a realização do path-traversal.

“No CVE-2019-0887, a Microsoft tentou resolver o path-traversal com o PathCchCanonicalize sem perceber que pode ser ignorado“, observa Herscovici. “No CVE-2020-0655, a Microsoft abordou o problema ‘\’ independentemente no código de manipulação do RDP, sem corrigir a função PathCchCanonicalize.“

Até o momento, a Microsoft não ofereceu nenhum motivo para não ter corrigido esse problema, embora a Check Point tenha notificado o fornecedor sobre ele.

Segundo o Dark Reading, em um comunicado enviado por e-mail, uma porta-voz da Microsoft disse que a atualização lançada pela empresa em fevereiro resolveu o problema nos Serviços de Área de Trabalho Remota. “Estamos analisando reivindicações adicionais e tomaremos as medidas apropriadas conforme necessário para ajudar a manter os clientes protegidos“, afirmou o comunicado.