【Black Hat】将已修复漏洞统统变0day！Windows更新缺陷可引发不可检测的降级攻击...-CSDN博客

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

SafeBreach Labs公司的研究员 Alon Leviev 督促注意微软 Windows Update 架构中的重大差距，提醒称恶意黑客可发动软件降级攻击，使任何Windows 机器上的“完全打补丁”状态变得毫无意义。

Leviev 在黑帽大会上演示了如何接管 Windows Update 进程，在关键的OS组件上构造自定义降级、提权以及绕过安全特性。Leviev 表示，“我能够让完全打补丁的 Windows 机器易受过去数千个漏洞的攻击，将已修复漏洞变为0day漏洞。”

Leviev 提到，他发现可操纵操作列表 XML 文件推送“Windows Downdate”工具，绕过所有验证步骤，包括完整性验证和 Trusted Installer 执行。他提到该工具能够降级关键的OS组件，导致操作系统错误报告已完全更新。

降级攻击也被称为“版本回滚”攻击，即将不受影响的、完全更新的软件回滚到含有已知可利用漏洞的老旧版本。Leviev 表示发现 BlackLotus UEFI Bootkit 中包含一个软件降级组件后开始检查 Windows Update，结果从中发现多个漏洞可被用于降级关键操作组件、绕过Windows VBS UEFI锁定，并将之前的提权漏洞暴露在虚拟化栈中。

Leviev 表示，已在今年2月份将该漏洞告知微软，并且在过去的6个月期间一直在协助缓解该问题。微软的一名发言人提到，正在开发安全更新来撤销过时的未修复的VBS系统文件来缓解该威胁。鉴于拦截数量众多的文件的复杂性，需要进行严格测试来避免集成错误或回归问题。

微软计划在当地时间本周三发布CVE编号，“为客户及时提供缓解措施或相关的风险降低指南”，目前尚不清楚何时发布补丁。Leviev还演示了在 Windows 中对虚拟化栈如何发动降级攻击。他滥用一个允许更少权限虚拟信任级别/层的设计权限来更新位于权限更高的虚拟信任级别/层级的组件。他指出，该软件降级回滚是“不可检测的”且“不可见”，并提醒称受此类攻击影响的不止 Windows 操作系统。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

恶意软件攻击Windows、Linux 和 macOS 开发人员

CrowdStrike：测试软件中的bug导致Windows蓝屏死机

我们仔细分析了使数百万Windows 蓝屏死机的CrowdStrike代码

微软：是欧盟把Windows 内核的密钥交给了 CrowdStrike，触发蓝屏死机

关于CrowdStrike 使 Windows 蓝屏死机，你需要知道的都在这里

原文链接

https://www.securityweek.com/safebreach-sounds-alarm-on-windows-update-flaws-allowing-undetectable-downgrade-attacks/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。