Эксперты Google Project Zero предупреждают, что патч для уязвимости CVE-2020-1509, выпущенный в рамках августовского «вторника обновлений», не устраняет полностью ранее выявленную проблему безопасности. Поэтому проблема эскалации привилегий в Windows Local Security Authority Subsystem Service (LSASS) по-прежнему актуальна.

Уязвимость CVE-2020-1509 была обнаружена в мае текущего года специалистом Google Project Zero Джеймсом Форшоу. Проэксплуатировать ошибку можно при помощи специально созданных запросов аутентификации, причем для успешного использования проблемы злоумышленнику понадобится заранее узнать действительные учетные данные.

Весной исследователь объяснял, что проблема связана с устаревшей возможностью AppContainer обеспечивать доступ к Security Support Provider Interface (SSPI), вероятно, предназначенной для облегчения установки бизнес-приложений корпоративных средах. Так, разрешение на аутентификацию должно выдаваться лишь в том случае, если цель, указанная в вызове, это прокси. Но Форшоу обнаружил, что аутентификация разрешена, даже если сетевое имя отличается от зарегистрированного прокси-сервера.

Выявленный дефект безопасности открывал возможность злоумышленнику осуществить аутентификацию на сетевых ресурсах и обойти такие средства защиты, как проверка SPN и подписывание SMB. В итоге атакующий мог даже получить доступ к службам localhost, хотя и с некоторыми оговорками.

В мае Форшоу опубликовал PoC-эксплоит для этой проблемы, чтобы продемонстрировать, как приложение может получить повышенные привилегии, эксплуатируя уязвимость LSASS.

После анализа выпущенного Microsoft исправления, Форшоу предупреждает, что выпущенный патч для CVE-2020-1509 мало эффективен. По словам эксперта, атака на уязвимость по-прежнему возможна, если в системе присутствует настроенный прокси-сервер. Более того, опубликованный в мае эксплоит не утратил своей актуальности, достаточно вручную добавить прокси-сервер в настройки и соблюсти еще ряд условий для успешной эксплуатации проблемы LSASS.