Ingat Reverse RDP Serangan—dimana sistem klien rentan untuk path traversal kerentanan bisa mendapatkan terganggu ketika jarak jauh mengakses server melalui Microsoft Remote Desktop Protocol?
Meskipun Microsoft telah menambal kerentanan (CVE-2019-0887) sebagai bagian dari juli 2019 Patch update selasa, ternyata para peneliti mampu melewati patch hanya dengan mengganti ke belakang garis miring di jalan dengan garis miring ke depan.
Microsoft mengakui tidak tepat memperbaiki dan re-patch cacat di bulan februari 2020 Patch selasa update awal tahun ini, kini dilacak sebagai CVE-2020-0655.
Dalam laporan terbaru bersama dengan The Hacker News, Check Point peneliti mengungkapkan bahwa Microsoft membahas masalah ini dengan menambahkan terpisah pemecahan masalah di Windows sementara meninggalkan akar bypass masalah, sebuah fungsi API “PathCchCanonicalize,” tidak berubah.
Rupanya, solusi bekerja dengan baik untuk built-in klien RDP di sistem operasi Windows, tetapi patch tidak bodoh-bukti yang cukup untuk melindungi pihak ketiga lainnya RDP klien terhadap serangan yang sama yang bergantung pada rentan sanitasi fungsi yang dikembangkan oleh Microsoft.
“Kami menemukan bahwa tidak hanya bisa penyerang bypass Microsoft patch, tetapi mereka dapat melewati setiap kanonikalisasi check yang dilakukan menurut Microsoft praktik terbaik,” Check Point peneliti Eyal Itkin mengatakan dalam sebuah laporan bersama dengan The Hacker News.
Bagi mereka tidak menyadari, path traversal serangan terjadi ketika sebuah program yang menerima file sebagai input gagal untuk memverifikasi itu, yang memungkinkan penyerang untuk menyimpan file dalam memilih lokasi pada sistem target, dan dengan demikian memperlihatkan isi dari file yang di luar direktori root dari aplikasi.
“Remote terinfeksi malware komputer bisa mengambil alih setiap klien yang mencoba untuk terhubung ke itu. Misalnya, jika seorang anggota staf mencoba untuk terhubung ke remote perusahaan komputer yang terinfeksi oleh malware, malware akan dapat menyerang ITU anggota staf komputer juga,” para peneliti dijelaskan.
Cacat terungkap tahun lalu, dan penelitian berikutnya pada bulan agustus menemukan bahwa itu berdampak Microsoft Hyper-V hardware virtualization platform juga.
Berikut adalah video demonstrasi asli kerentanan dari tahun lalu:
Tidak Semestinya Ditambal Path Traversal Cacat
Menurut para peneliti, juli patch dapat dilewati karena masalah yang terletak di jalan kanonikalisasi fungsi “PathCchCanonicalize,” yang digunakan untuk membersihkan file jalan, sehingga memungkinkan seorang aktor yang buruk untuk mengeksploitasi clipboard sinkronisasi antara klien dan server untuk drop file yang sewenang-wenang di jalan yang sewenang-wenang pada mesin klien.
Dengan kata lain, saat menggunakan clipboard fitur pengalihan saat terhubung ke sistem RDP server, server dapat digunakan bersama RDP clipboard untuk mengirim file ke komputer klien dan mencapai remote code execution.
Meskipun Check Point peneliti awalnya menegaskan bahwa “perbaikan sesuai harapan awal kami,” tampaknya ada lebih untuk ini daripada memenuhi mata: patch dapat hanya dilewati dengan mengganti ke belakang garis miring (misalnya, file\ke\lokasi) di jalan dengan garis miring ke depan (misalnya, file/untuk/lokasi), yang biasanya bertindak sebagai jalur pemisah di sistem berbasis Unix.
“Tampaknya bahwa PathCchCanonicalize, fungsi yang disebutkan di Windows praktek terbaik panduan tentang cara untuk canonicalize bermusuhan jalan, mengabaikan maju-slash,” Itkin kata. “Kami diverifikasi perilaku ini dengan reverse-engineering Microsoft pelaksanaan fungsi, melihat bahwa ia membagi jalan untuk bagian-bagian dengan mencari hanya untuk ‘\’ dan mengabaikan ‘/.'”
Cybersecurity perusahaan mengatakan itu ditemukan cacat ketika mencoba untuk memeriksa Microsoft Remote Desktop client untuk Mac, sebuah klien RDP yang tersisa keluar dari analisis awal mereka tahun lalu. Menariknya, macOS klien RDP itu sendiri tidak rentan terhadap CVE-2019-0887.
Dengan kerentanan masih belum diperbaiki, Check Point memperingatkan bahwa implikasi dari sederhana untuk memotong inti jalan Windows sanitasi fungsi menimbulkan risiko serius untuk banyak produk perangkat lunak lain yang berpotensi terkena dampak.
“Microsoft diabaikan untuk memperbaiki kerentanan dalam API resmi, sehingga semua program yang ditulis menurut Microsoft praktik terbaik masih akan rentan untuk Jalan-Traversal serangan,” Check Point Omri Herscovici kata. “Kami ingin pengembang untuk menyadari ancaman ini sehingga mereka bisa pergi melalui program-program mereka dan secara manual menerapkan patch terhadap hal itu.”
