آزمایشگاه تخصصی آپا دانشگاه فردوسی مشهد::FUM CERT Lab. (Computer Emergency Response Team)

آسیب‌پذیری‌های انحراف حافظه در مرورگر Microsoft Edge در به‌روزسانی جدید مایکروسافت برطرف شد. همچنین این شرکت راهکار‌های جدیدی برای بهبود امنیت اکتیو دایرکتوری در ابر ارائه کرد.

مایکروسافت آخرین نسخه به‌روزرسانی امنیتی خود را در روز سه‌شنبه، 12 دسامبر منتشر کرد، که در آن 32 مورد از مشکلات مختلف برطرف شده است. به‌علاوه، مایکروسافت راهکاری برای نقص اکتیو دایرکتوری ابر ارائه داد، بدون اینکه یک وصله رسمی برای آن منتشر شود.

از میان 32 مورد آسیب‌پذیری رفع شده، 20 مورد بحرانی و 12 مورد مهم بوده‌اند. اکثر CVEهای تخصیص‌یافته که در به‌روزرسانی دسامبر 2017 برطرف شده‌اند، مربوط به مرورگرهای Microsoft Edge و Microsoft Internet Explorer می‌باشند.

یکی از نقص‌های بحرانی که در مرورگر Microsoft Edge رفع شده، دارای شناسه CVE-2017-11888 بوده، و یک آسیب‌پذیری بحرانی انحراف حافظه است. اگرچه این نقص هنوز به‌طور جدی مورد سوءاستفاده قرار نگرفته، اما مایکروسافت به آن نرخ سوءاستفاده 1 داده است، به این معنی که چنانچه این آسیب‌پذیری رفع نشود، احتمال سوءاستفاده از آن توسط مهاجمین در آینده بسیار زیاد است.

طبق توصیه‌ مایکروسافت، «آسیب‌پذیری اجرای کد راه دور، زمانی ایجاد می‌شود که Microsoft Edge به‌صورت نادرست به اشیاء موجود در حافظه دسترسی پیدا کند. مهاجمی که بتواند با موفقیت از این آسیب‌پذیری سوءاستفاده کند، امتیازاتی یکسان با کاربر جاری به‌دست می‌آورد.»

مرورگر Microsoft Edge جایگزینMicrosoft Internet Explorer  است و برای ایجاد امنیت بیشتر توسط مایکروسافت ارائه شده است. با این وجود، هر ماه نقص‌های جدیدی در Microsoft Edge پیدا می‌شود.

به گفته Brian Gorenc، مدیر Trend Micro's Zero Day Initiative، «مایکروسافت توانسته خطاهای UAF  (Use After Free) را با مواردی مانند MemoryProtection و  Isolated Heap تخفیف دهد، اما موفق به تخفیف انواع مختلف مشکلات انحراف حافظه در Edge نشده است.»

اکتیو دایرکتوری

علاوه بر وصله‌ها، مایکروسافت دستورالعمل‌هایی برای یک مشکل امنیتی بالقوه، با استفاده از خدمت
 Connect(Active Directory) Azure AD ارائه داد.

مایکروسافت در دستورالعمل‌های خود توضیح می‌دهد که «Azure AD Connect به مشتریان این امکان را می‌دهد تا داده‌های دایرکتوری را بین AD محلی خود و Azure AD همزمان کنند.»

یک ریسک پیکربندی اشتباه در این خدمت وجود دارد، که به‌طور بالقوه می‌تواند به کاربران امتیازات مدیر را بدهد. این مشکل توسط شرکت امنیتی Preempt شناسایی شد، که با احساس مسوولیت خود این مشکل را به مایکروسافت اطلاع دادند. Ajit Sancheti، مدیر اجرایی و بنیان‌‌گذار Preempt می‌گوید: شرکت آن‌ها آسیب‌پذیری اکتیو دایرکتوری را، حین نصب محصولات Preempt، بر روی سیستم مشتریان پیدا کرده است.

طبق گفته Sancheti، «پلت‌فرم Preempt، توانایی شناسایی مدیران پنهانی را دارد، و ما متوجه یک حساب کاربری، حین نصب‌ محصولات بر روی تمامی سیستم‌ها شدیم.»

Sancheti می‌گوید محققان Preempt بررسی بیشتری انجام دادند و متوجه شدند این مشکل زمانی رخ می‌دهد که مشتریان Microsoft Office 365 را با Azure AD Connect در استقراری دوگانه، نصب می‌کنند. وی افزود، سازمان‌ها باید دستورالعمل‌های مایکروسافت را برای کاهش سطح حمله، اعمال کنند.

Preempt در حال حاضر ابزار Preempt Inspector خود را به‌صورت رایگان به شرکت‌ها ارائه می‌دهد، تا در صورت وجود این مشکل، بتوانند آن را شناسایی کنند.

وصله مایکروسافت در روز سه‌شنبه دستخوش تغییرات قابل ملاحظه‌ای شده است، به‌گونه ای که این کمپانی نقص‌ها و وصله‌ها را منتشر کرده است.

طبق گفته Dustin Childs، مدیر ارتباطات Zero Day Initiative در Trend Micro، «مایکروسافت مفهوم بیانیه‌های امنیتی را کاملاً حذف کرد، و آن را با دستورالعمل‌های به‌روزرسانی امنیتی جایگزین کرد. تعداد زیادی از مدیران سیستم و مدافعان شبکه از این وضعیت راضی نیستند.»

تعدادی از فروشندگان امنیتی نیز، از این تغییر رضایت ندارند. طبق گفته Chris Goettl، مدیر تولید Ivanti، تغییر در بیانیه‌های مایکروسافت و روشی انتشار محتوای آن‌ها در وصله روز سه‌شنبه، منجر به افزایش ترافیک برای محققان و تحلیل‌گران شده است. «بررسی تمام داده‌های موجود در وصله روز سه‌شنبه و تحلیل و شناسایی مسائل مهم، زمان تفکر را افزایش می‌دهد. بررسی‌هایی که پیش‌تر 30-60 دقیقه زمان می‌برد، با انتشار وصله روز سه‌شنبه، 2-4 ساعت زمان می‌برد.»

تیم هک کارگزاران سایه

به گفته Gill Langston، مدیر تولید Qualys، 2017 سالی بود که در آن مایکروسافت، با ارائه وصله سه‌شنبه، پاسخی به سوءاستفاده‌های منتشرشده توسط کارگزاران سایه داد. ادعا می‌شود گروه هک کارگزاران سایه (Shadow Brokers)، یک گروه حمایت از دولت ملی است، که ابزارهای هک را از آژانس امنیت ملی ایالات متحده (NSA) سرقت می‌کند.

در میان سوءاستفاده‌های منتشرشده توسط کارگزاران سایه در ماه آوریل، مجموعه‌ای بود که مایکروسافت پیش‌تر در ماه مارس وصله آن‌ را ارائه کرده بود، به عنوان مثال MS17-010. نقص MS17-010 یک آسیب‌پذیری مسدود کردن پیام سرویس‌دهنده (Server Message Block - SMB) است که در حمله اخاذی WannaCry، در ماه می، مورد سوءاستفاده قرار گرفته بود.

به گفته Langston، «دو یا چند ماه پس از انتشار وصله برای اولین بار، به نظر می‌رسید تعدادی از سازمان‌ها هنوز حفاظت نشده‌اند.»