کمیته رکن چهارم – یک پژوهشگر امنیت سایبری دو آسیبپذیری روز-صفر جدید در ویندوز را افشا کرده که یکی از آنها امکان دور زدن BitLocker و دیگری افزایش سطح دسترسی تا SYSTEM را فراهم میکند.
به گزارش کمیته رکن چهارم، این دو آسیبپذیری توسط پژوهشگری با نام مستعار Chaotic Eclipse کشف شده و با نامهای YellowKey و GreenPlasma شناخته میشوند. نقص اول با سوءاستفاده از محیط بازیابی ویندوز (WinRE) میتواند BitLocker را حتی در سیستمهایی که از TPM+PIN استفاده میکنند دور بزند.
در سناریوی حمله YellowKey، مهاجم با استفاده از فایلهای ویژه FsTx روی USB یا پارتیشن EFI و بوت سیستم در محیط WinRE، موفق به اجرای cmd.exe روی سیستمی میشود که درایو BitLocker آن از قبل Unlock شده است. پژوهشگران هشدار دادهاند این نقص به مهاجم اجازه میدهد به فایلهای رمزگشاییشده دسترسی پیدا کند.
آسیبپذیری دوم با نام GreenPlasma مربوط به Windows CTFMON است و امکان افزایش سطح دسترسی و اجرای Shell با دسترسی SYSTEM را فراهم میکند. این نقص از طریق ایجاد Sectionهای دلخواه در مسیرهایی که توسط SYSTEM قابل نوشتن هستند قابل بهرهبرداری است.
همزمان پژوهشگران شرکت Intrinsec نیز یک حمله Downgrade جدید علیه BitLocker را افشا کردهاند که با سوءاستفاده از نسخههای قدیمی Boot Manager میتواند Secure Boot و BitLocker را دور بزند. در این روش مهاجم از فایلهای بوت قدیمی اما دارای امضای معتبر برای بارگذاری WinRE دستکاریشده استفاده میکند.
مایکروسافت اعلام کرده در حال بررسی این گزارشها است و قصد دارد گواهیهای قدیمی PCA 2011 را بازنشسته کند تا از بارگذاری نسخههای آسیبپذیر Boot Manager جلوگیری شود.
پیشزمینه
BitLocker یکی از مهمترین قابلیتهای امنیتی ویندوز برای رمزگذاری کامل دیسک محسوب میشود و در سازمانها و لپتاپهای حرفهای بهطور گسترده استفاده میشود. با این حال در سالهای اخیر چندین حمله مبتنی بر WinRE، Secure Boot و Boot Manager برای دور زدن این مکانیزم امنیتی منتشر شده است.
جمعبندی
افشای YellowKey و GreenPlasma نشان میدهد حتی قابلیتهای امنیتی پیشرفته ویندوز نیز ممکن است در برابر حملات فیزیکی و ضعفهای منطقی آسیبپذیر باشند. کارشناسان تأکید میکنند فعالسازی BitLocker PIN، محدودسازی دسترسی فیزیکی و بهروزرسانی Boot Manager از مهمترین اقدامات دفاعی در برابر این نوع حملات است.
منبع: The Hacker News
