Olyan hibát javított a Microsoft a Windowsban, aminek a foltozásával még a jövő héten esedékes hibajavító keddet sem akarták megvárni. A kritikus – azaz a rendszer feletti irányítás átvételére is lehetőséget adó – hiba, amit a Project Zerónak, a Google biztonsági csapatának egy kutatója fedezett fel, ráadásul épp egy nagyon fontos védelmi motorban van, abban, amit a Microsoft biztonsági alkalmazásai is használnak.

A Microsoft gyorsan lépett, elkészítette a javítást, és soron kívül ki is adta azt.

Egy dll-ben találtak problémát

A sérülékenységet az MMPE, azaz a Microsoft Malware Protection Engine egy összetevője, a mpengine.dll fájl tartalmazza. Ezt a fájlt használja többek között a Windows Defender, a Microsoft Security Essentials, a Microsoft Endpoint Protection, a Windows Intune Endpoint Protection és a Microsoft Forefront Endpoint Protection is. A helyzetet súlyosbítja, hogy a Windows Defender része a Windows 10-nek, ráadásul alapértelmezésben engedélyezett is a működése.

A felfedezett sérülékenység kihasználás nem is túl nehéz, még felhasználói közreműködés sem kell ahhoz, hogy a támadó átvegye az irányítást a rendszer fölött. Ennek részben az az oka, hogy az MMPE eleve magas szintű jogosultságokat kap a futásához. Ha tehát valaki rátalál a hibára, azon keresztül lényegében bármit megtehet a gépen.

A sérülékenységet preparált fájlokkal lehet kihasználni, de magának a speciálisan összeállított fájlnak a célba juttatására számtalan módot lehet használni: fel lehet tenni weboldalakra, el lehet küldeni a célpont gépre emailben vagy valamilyen chatprogrammal is.
 

Az érintett programoknál az engine verziójára kell figyelni
 

Amikor a speciális állományt a felhasználó böngészője, levelező vagy chatprogramja letölti, a Windows védelmi rendszerei lefuttatnak rajta egy ellenőrzést vagy a letöltés pillanatában, vagy egyéb beállítások esetén ütemezve. A fertőzés pedig épp ennek az ellenőrzésnek a során következik be.

Automatikusan települ, de figyeljen!

A hibát az MMPE 1.1.14700.5-ös verziója javítja. A frissítés – beállításoktól függően – elvileg 48 órán belül minden veszélyeztetett rendszerre automatikusan települ.

A CVE-2018-0986 azonosítójú hibáról, az érintett programokról valamint a javítás módjáról a Microsoft oldalán tájékozódhat.