Грешка при запишување четири бајти и проблем со временското усогласување им овозможиле на истражувачите да извршат код во изолираната средина на Windows SmartScreen

Истражувачите за безбедност успеале да извршат сопствен код во заштитен дел од Windows, кој е дизајниран да остане изолиран дури и кога напаѓачот ќе преземе контрола над остатокот од компјутерот.

Заштитениот дел е VBS enclave — изолиран дел од меморијата што оперативниот систем го користи за заштита на тајни податоци. Изолираната средина во која успеале да навлезат истражувачите ги обработува лозинките за една функција на Windows наменета за заштита од фишинг.

Истражувањето било спроведено во лабораторија како доказ за концептот (PoC). Ранливоста не била забележана во реални напади, а Microsoft ја поправил со ажурирањето од 8 септември 2026 година.

Ранливоста е заведена под ознаката CVE-2026-83498. Microsoft ја класифицира како критичен безбедносен проблем што овозможува зголемување на привилегиите, со CVSS-оцена од 7,8. Компанијата наведува дека ранливоста не била искористена во напади и дека не била јавно позната пред објавувањето на исправката. Microsoft соопштил и дека независно го открил истиот проблем во рамките на своето истражување.

Истражувањето на безбедносната компанија Doyensec било објавено на 13 октомври, повеќе од еден месец по објавувањето на безбедносната исправка.

VBS enclave е потпишана софтверска библиотека што ја вчитува обична Windows-програма, но која таа програма не може да ја чита или менува откако ќе започне нејзиното извршување. Хипервизорот на Windows ја чува меморијата на изолираната средина во побезбедна околина, наречена VTL1 или Isolated User Mode. Обичниот код што работи во стандардната околина, VTL0, нема пристап до неа, според Microsoft.

Овој дизајн треба да ги заштити податоците дури и ако напаѓачот веќе го презел кернелот на стандардниот систем или работи со привилегиите на SYSTEM. Токму можноста за извршување код избран од напаѓачот во оваа заштитена околина го прави истражувањето значајно.

Изолираната средина што ја нападнал Doyensec е SFAPE.dll, компонентата што стои зад функцијата Enhanced Phishing Protection во Microsoft Defender SmartScreen.

Оваа функција го следи текстот што го внесувате или залепувате и ве предупредува ако ја внесете лозинката за најавување во Windows на небезбедно место, како што се Notepad или фишинг-страница.

За да ја извршува оваа проверка без директно да ја изложува лозинката, Windows ја пресретнува при најавувањето и ја складира во хеширана форма во изолираната средина. Подоцнежните внесувања потоа можат да се споредуваат со неа.

На систем со Windows 11, програмата што ја вчитува оваа изолирана средина е lsass.exe — процесот што ги обработува податоците за најавување и работи со привилегиите на SYSTEM.

Нападот не може да се изврши од далечина. Потребна е програма што веќе работи на компјутерот и ја вчитува и повикува изолираната средина. Во случајот со SFAPE, тоа е LSASS.

Оценката на Microsoft го потврдува истото: нападот бара локален пристап, напаѓачот мора да има ниско ниво на пристап до системот, а не е потребна помош од корисникот.

Накратко, ова е начин код што веќе успеал да се изврши на компјутерот да навлезе во соседната, побезбедна околина — а не начин за директен напад од надворешна мрежа.

Doyensec го изградил нападот почнувајќи од мала грешка, а потоа постепено ги проширувал неговите можности.

Повторното повикување на функцијата Initialize во изолираната средина предизвикува запишување на фиксна четирибајтна вредност за грешка на мемориска адреса што ја контролира програмата што ја повикува функцијата. При второто повикување, проверката на адресата што се извршува при првото повикување се прескокнува.

Doyensec нагласува дека оваа грешка сама по себе има ограничено влијание. Истражувачите пишуваат дека нејзиното нарекување произволно запишување во меморијата би било „големо претерување“.

Сепак, ако запишувањето е насочено кон вистинската мемориска адреса, тие четири бајти ја оштетуваат вредноста што изолираната средина ја користи за да ја разликува сопствената меморија од меморијата на главниот систем. Поради тоа, нејзината безбедносна проверка престанува правилно да функционира.

Потоа, грешка со временското усогласување во друга функција предизвикува контролирано бришење на податоци. Ова бришење го менува начинот на кој изолираната средина пристапува до складиран објект. Добиените можности за читање и запишување им овозможуваат на истражувачите да ја заменат табелата што одредува кој код смее да се извршува во изолираната средина.

Резултатот е извршување код избран од напаѓачот во рамките на изолираната средина.

Истражувањето ја нарушило изолацијата на заштитената средина, но не покажало дека лозинката на корисникот била прочитана или украдена. Во безбедносното известување на Microsoft, влијанието е опишано како можност за протекување податоци од изолираната средина или извршување код во неа.

Microsoft ја поправил ранливоста со кумулативното ажурирање од 8 септември 2026 година, KB5124008, за верзиите 24H2 и 25H2 на Windows 11.

Doyensec ги споредил старите и новите датотеки и утврдил дека поправената изолирана средина сега ја проверува мемориската адреса пред првото запишување и ја заострува проверката на функцијата што била искористена преку грешката со временското усогласување.

Ажурирањето вклучува и нова безбедносна политика што целосно го спречува вчитувањето на старата, ранлива изолирана средина. На тој начин, ажуриран систем не може да ја извршува таа стара верзија.

Не е потребно посебно привремено решение — доволно е да се инсталира ажурирањето.

Сепак, останува еден безбедносен недостаток. Windows нема општа листа за блокирање ранливи изолирани средини, каква што има за ранливи драјвери. Политиката од септември ја блокира само старата датотека SFAPE.

Според Doyensec, една постара изолирана средина на Microsoft Edge, која има слична ранливост што овозможува читање и запишување во меморијата — CVE-2023-36880 од 2023 година — сè уште може да се вчитува.

Не е јасно дали тоа е намерна одлука или пропуст.

Ова е важно бидејќи вчитувањето потпишана, но ранлива изолирана средина е позната техника, понекогаш наречена „bring your own vulnerable enclave“ („донеси сопствена ранлива изолирана средина“). Истражувањата на Akamai и Outflank претходно покажале како оваа техника може да се користи за сокривање код и податоци од безбедносните алатки.

Блокирањето на една ранлива изолирана средина, додека друга и понатаму може да се вчитува, значи дека оваа техника сè уште може да се користи.

Извори:

• The Hacker News – Four-Byte Write and Timing Bug Let Researchers Run Code in Windows SmartScreen Enclave The Hacker News