Microsoft sikkerhetsoppdateringer for august 2019

De kritiske sårbarhetene påvirker blant annet Microsoft Word, Windows Server sin DHCP-tjener, Outlook, Hyper-V, Remote Desktop Services (RDP), samt Microsofts nettlesere generelt. Disse sårbarhetene er gjennomgått i mer detaljer under.

Adobe [2] har også publisert kritiske sikkerhetsoppdateringer for Adobe Photoshop CC, Adobe Experience Manager og Creative Cloud Desktop Application.

Tre av sårbarhetene som ble rettet av Microsoft har fått mer oppmerksomhet enn de andre sårbarhetene grunnet deres alvorlighet:

• CVE-2019-1162: Privilegieeskalering i ALPC [3][4]
• CVE-2019-1181: Fjernkjøring av vilkårlig kode over RDP [5
• CVE-2019-1182: Fjernkjøring av vilkårlig kode over RDP [5]

Sårbarheten i ALPC tillater eskalering av privilegier til SYSTEM [3][4]. Project Zero som oppdaget sårbarheten har i tillegg publisert utnyttelseskode [6].

Sårbarhetene i Remote Desktop Services [5] har Microsoft selv oppdaget. Disse har i likhet med BlueKeep (CVE-2019-0708) ormlignende egenskaper og krever verken brukerinteraksjon eller autentisering for å utnyttes. I motsetning til BlueKeep, er alle støttede versjoner av Windows sårbare.

Vi i NorCERT har foreløpig ikke observert aktiv utnyttelse av sårbarhetene, men anbefaler virksomheter å oppdatere så snart det lar seg gjøre.

Eksterne nettsider for flere detaljer om sårbarhetene

1. https://portal.msrc.microsoft.com/en-us/security-guidance
2. https://helpx.adobe.com/security.html
3. https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2019-1162
4. https://googleprojectzero.blogspot.com/2019/08/down-rabbit-hole.html
5. https://msrc-blog.microsoft.com/2019/08/13/patch-new-wormable-vulnerabilities-in-remote-desktop-services-cve-2019-1181-1182/
6. https://github.com/taviso/ctftool

Sårbarheter belyst i dette sårbarhetsvarselet

Microsoft Word Remote Code Execution

Retter en sårbarhet i hvordan Microsoft Word håndterer objekter i minne. Sårbarheten kan utnyttes enten ved å få en bruker til å åpne en spesielt utformet fil, eller ved å utnytte forhåndsvisning av dokumenter i Outlook. Sårbarheten lar en angriper kjøre vilkårlig kode med samme privilegier som nåværende bruker.

Microsoft Outlook Memory Corruption

Microsoft Outlook inneholder en sårbarhet som muliggjøre fjernkjøring av kode, grunnet en feil i hvordan objekter i minne håndteres. Hvis nåværende bruker har administrator-rettigheter, kan sårbarheten brukes til å ta kontroll over utsatte systemer. Utnyttelse av sårbarheten krever at en bruker åpner en spesielt utformet fil med sårbare versjoner av Microsoft Outlook. En angriper kan sende en mail med filen til en bruker, og få bruker til å åpne denne filen i Outlook.

Remote Desktop Services Remote Code

Det er en sårbarhet i Windows Remote Desktop Services som lar en uautentisert angriper fjernkjøre kode på sårbare systemer. Sårbarheten kan utnyttes ved å sende spesielt utformet spørringer via RDP til ett sårbart system. Sikkerhetsoppdateringen adresserer sårbarheten ved å korrigere hvordan Remote Desktop Services håndterer tilkoblingsforespørsler.

Chakra Scripting Engine Memory Corruption

Retter en sårbarhet i hvordan script motoren i Microsoft Edge håndterer objekter i minne. Sårbarheten gjør det mulig for angriper å manipulere minne på en slik måte at angriper kan eksekvere vilkårlig kode med samme privilegier som bruker. Sårbarheten kan utnyttes ved at angriper får bruker til å besøke en nettside med ondsinnet innhold.

Windows Hyper-V Remote Code Execution

Microsoft Hyper-V inneholder en sårbarhet som kan føre til fjernekservering på en server som feiler med å validere inndata fra en uautentisert bruker på et gjesteoperativsystem. For å utnytte sårbarheten kan en angriper kjøre en spesielt utformet applikasjon på gjesteoperativsystemet som kan føre til at Hyper-V-serveren kjører vilkårlig kode. En angriper som vellykket utnytter sårbarheten kan kjøre vilkårlig kode på Hyper-V-operativsystemet. Sikkerhetsoppdateringen adresserer sårbarheten ved å rette opp i hvordan Hyper-V validerer gjesteoperativsystemets inndata fra brukeren.

Microsoft Outlook Remote Code Execution

Microsoft Outlook inneholder en sårbarhet grunnet en feil i hvordan den håndterer objekter i minne. Sårbarheten kan utnyttes ved å få en bruker til å åpne en spesielt utformet fil. Dersom en angriper utnytter sårbarheten, kan de eksekvere vilkårlig kode med samme privilegier som nåværende bruker.

LNK Remote Code Execution Vulnerability

Microsoft Windows har en sårbarhet i hvordan .LNK filer blir prosessert. Utnyttelse kan la en angriper oppnå samme rettigheter som den lokale brukeren. Sårbarheten kan utnyttes ved å få en bruker til å åpne en USB harddisk eller en lagringsplass på nettet med .LNK-filen og tilhørende ondsinnet programvare. Brukere som er konfigurert til å ha mindre rettigheter på systemet, kan være mindre utsatt enn brukere med administrator-rettigheter.

Windows VBScript Engine Remote Code

En sårbarhet i hvordan VBScript engine håndterer objekter i minne. Sårbarheten lar en angriper korruptere minne på en slik måte at de kan eksekvere vilkårlig kode med samme rettigheter som nåværende bruker. Dersom brukeren har administrator-rettigheter så kan sårbarheten brukes til å ta kontroll over systemet. Sårbarheten kan utnyttes ved å lure brukeren til å åpne en ondsinnet nettside i Internet Explorer, eller med ett Microsoft Office dokument som bruker IE rendering engine.

Scripting Engine Memory Corruption

Det er en sårbarhet i hvordan scripting engine i Internet Explorer håndterer objekter i minne. Sårbarheten lar en angriper korruptere minne på en slik måte at de kan eksekvere vilkårlig kode i samme kontekst som nåværende bruker. Dersom brukeren har administrator-rettigheter så kan sårbarheten brukes til å ta kontroll over systemet. Sårbarheten kan utnyttes ved å lure brukeren til å åpne en ondsinnet nettside i Internet Explorer, eller med ett Microsoft Office dokument som bruker IE rendering engine.

Windows DHCP Client Remote Code Execution

Det er en minne-ødeleggelse sårbarhet i Windows DHCP klienten når en angriper sender en spesielt utformet DHCP respons til en klient. Utnyttelse av sårbarheten lar en angriper kjøre vilkårlig kode på klient-maskinen.

Hyper-V Remote Code Execution Vulnerability

Windows Hyper-V Network Switch inneholder en sårbarhet som kan føre til fjerneksekvering av kode når hosten ikke klarer å validere input fra en autentisert bruker på ett gjesteoperativsystem. For å utnytte sårbarheten kan en angriper kjøre en spesielt utformet applikasjon på gjesteoperativsystemet som kan føre til at Hyper-V-serveren kjører vilkårlig kode. En angriper som vellykket utnytter sårbarheten kan kjøre vilkårlig kode på Hyper-V-operativsystemet. Sikkerhetsoppdateringen adresserer sårbarheten ved å rette opp i hvordan Hyper-V Network Switch validerer nettverkstrafikk fra gjesteoperativsystem.

Microsoft Graphics Remote Code Execution

Det er en sårbarhet i hvordan Windows font biblioteket håndterer spesielt utformet embedded fonter. En angriper som klarer å utnytte sårbarheten kan ta kontroll over systemet. En bruker som har mindre rettigheter kan være mindre utsatt en brukere med administrator-rettigheter. Det er flere måter sårbarheten kan utnyttes. I ett web-basert angrepsscenario så kan angriper få en bruker til å se på en spesielt utformet nettside. En angriper kan også lure en bruker til å åpne ett spesielt utformet dokument.

Windows DHCP Server Remote Code Execution

En sårbarhet i hvordan DHCP servicen på Windows Server muliggjør fjerneksekvering av vilkårlig kode på sårbare systemer. Sårbarheten kan utnyttes ved å sende en spesielt utformet pakke til DHCP serveren.

Om Exploitability Index

For hver sårbarhet gir Microsoft en vurdering av sannsynligheten for at den skal kunne utnyttes. Dette kaller de «exploitability index».

En «exploitability index» på 0 betyr at Microsoft har observert utnyttelse. 1 betyr at Microsoft anser utnyttelse som sannsynlig og at det er lett å skrive stabil utnyttelseskode for sårbarheten. 2 betyr at utnyttelse er mindre sannsynlig og at stabil utnyttelseskode vil være vanskelig å produsere. 3 betyr at utnyttelse er usannsynlig. N betyr at sårbarheten ikke finnes i aktuell versjon av programvaren.

Det gis én verdi for den nyeste versjonen av det aktuelle produktet, og én verdi for de eldre/andre støttede versjonene. Vi markerer sårbarhetene under med (EI: x,y) hvor x er siste versjon, og y er eldre/andre versjoner.