พบช่องโหว่ Zero-Day บน Windows ทำให้อ่านไฟล์ทุกไฟล์ได้ด้วยสิทธิ์การเข้าถึงระบบในระดับผู้ดูแล

นี่เป็นครั้งที่ 3 ในรอบสี่เดือนที่ผ่านมา ที่นักวิจัยด้านความปลอดภัยได้ออกมาประกาศเกี่ยวกับช่องโหว่ zero-day ใน Microsoft Windows

ช่องโหว่นี้ถูกพบโดยนักวิจัยที่ใช้ชื่อว่า SandboxEscaper ได้ออกมาเผิดเผยรายละเอียดเกี่ยวกับช่องโหว่ที่พบ ช่องโหว่นี้มีผลกระทบกับไฟล์ ReadFile.exe ซึ่งเป็นไฟล์ที่ทำให้สามารถอ่านข้อมูลในส่วนที่ต้องการได้

สาเหตุเกิดจากฟังก์ชั่นของ Microsoft ที่ชื่อว่า “MsiAdvertiseProduct” เป็นฟังก์ชั่นที่ใช้ในการสร้างสคริปต์โฆษณา หรือโฆษณาสินค้าบนคอมพิวเตอร์ ทำให้สามารถติดตั้งสคริปต์การลงทะเบียนที่เขียนขึ้นมาได้ และยังเป็นช่องทางลัดของข้อมูลเพื่อใช้ในการกำหนด หรือเผยแพร่สินค้าอีกด้วย

การเรียกใช้ฟังก์ชั่นนี้ทำให้เกิดการคัดลอกไฟล์โดยไม่ได้รับอนุญาตจากผู้ให้บริการติดตั้งโปรแกรม ทำให้แฮกเกอร์สามารถเข้าควบคุมการทำงานได้ ถึงแม้บางว่าจะมีการตรวจสอบแล้วก็ตาม ก็ยังสามารถข้ามการตรวจสอบโดยใช้สภาวะการแย่งชิงเวลาในการตรวจสอบเวลาในการใช้งาน (time to check to time to use-TOCTOU) ทำให้ไฟล์ที่ทำการคัดลอกมาด้วย SYSTEM privileges (สิทธิ์ในระดับที่สามารถเข้าถึงระบบ) สามารถอ่านได้ตลอดเวลา
วิดีโอด้านล่างนี้เป็นวิดีโอที่ SandboxEscaper ทำการเผยแพร่แสดงถึงการทำงานของช่องโหว่นี้

ที่มาของวิดีโอ: Bleeping Computer

นักวิจัยได้ออกมากล่าวเกี่ยวกับช่องโหว่นี้ว่า “เพื่อเป็นการยืนยันถึงบั๊กที่เกิดขึ้นนี้ วิธีที่ง่ายที่สุดคือ สร้างบัญชีผู้ใช้ขึ้นมา 2 บัญชี จากนั้นทำการอ่านไฟล์ desktop.ini จากอีกบัญชีหนึ่ง”

ทาง Mitja Kolsek CEO ของ Acros Security และเป็นผู้ก่อตั้ง 0Patch platform ได้ออกมายืนยันถึง PoC (- proof of concept การทดสอบความเป็นไปได้) และได้ออกแพทช์เพื่ออุดช่องโหว่นี้ชั่วคราว (micropatches) ให้แก่ลูกค้าก่อน จนกว่าจะหาวิธีอุดช่องโหว่นี้ได้อย่างสมบูรณ์ ซึ่งคาดว่า micropatches หรือแพตช์ชั่วคราวจะออกมาก่อนช่วงเทศกาลวันหยุด

SandboxEscaper ได้เผยแพร่ช่องโหว่ที่เกิดบน Windows มาแล้วถึง 3 ครั้ง โดยไม่ได้แจ้งให้กับทาง Microsoft เลยสักครั้งเดียว

ช่องโหว่แรกที่ออกมาเผยแพร่นั้นประมาณปลายเดือนสิงหาคม เป็นช่องโหว่เกี่ยวกับการยกระดับสิทธิ์ผ่านทาง Windows Task Scheduler สามารถดูได้ที่หัวข้อ พบช่องโหว่ Zero Day บน Windows Task Scheduler

ช่องโหว่ที่ 2 ได้ออกมาเผยแพร่เมื่อปลายเดือนตุลาคม เป็นช่องโหว่ที่เกี่ยวกับการยกระดับสิทธิ์ทำให้สามารถลบไฟล์ใดๆ ก็ได้ โดยไม่ต้องขออนุญาตจากระบบ สามารถดูได้ที่หัวข้อ พบช่องโหว่ Zero-day บน Windows ทำให้ Local User หรือมัลแวร์สามารถยกสิทธิ์ตัวเองให้อยู่ในระดับสูงสุดได้

นับตั้งแต่ SandboxEscaper ได้ออกมาเผยแพร่รายละเอียดของบั๊กพร้อม PoC (- proof of concept การทดสอบความเป็นไปได้) ช่องโหว่ Zero-Day ที่เกิดใน windows ช่องโหว่แรก บน GitHub SandboxEscaper ก็ไม่สามารถเข้าใช้งานบัญชี GitHub ได้อีก เธอได้เขียนไว้ใน blog ของเขาว่า เป็นเพราะ Microsoft ที่ทำให้เธอไม่สามารถเข้าใช้งาน GitHub ได้

นอกจากนี้ FBI ยังให้ความสนใจกับ SandboxEscaper ด้วย เพราะเธอได้รับจดหมายจาก Google แจ้งเข้ามาว่า มีหมายศาลมายัง Google เพื่อขอข้อมูลเกี่ยวกับบัญชี Google ของเธออีกด้วย

ทั้งนี้และทั้งนั้นสาเหตุที่ทาง FBI ต้องการข้อมูลของเธออาจจะไม่ได้มาจากการนำช่องโหว่ออกมาเผยแพร่ แต่อาจจะมาจากข้อความที่เธอได้โพสลงบนทวิตเตอร์ เกี่ยวกับการขู่ฆ่าประธานาธิบดีอเมริกา ซึ่งเธอก็ได้ลบข้อความนี้เรียบร้อยแล้ว

ที่มา: Bleeping Computer