Microsoft нашла серьезные уязвимости в продуктах Huawei
Два бага допускали повышение локальных привилегий и запуск произвольного кода. Тем не менее, «критического» статуса они не получили. Исправления были внесены в начале 2019 г.
Серьезные, но не критичные
Эксперты по безопасности корпорации Microsoft обнаружили две серьезные уязвимости в разработках китайской фирмы Huawei. Выявленные баги допускали повышение привилегий в системе и запуск произвольного кода.
Проблема обнаружилась в инструменте Huawei PCManager, предустановленном на ноутбуках MateBook. Система Advanced Threat Protection в антивирусе MicrosoftDefender обнаружила некое «аномальное поведение» в драйвере, и дальнейший анализ показал, что в программе присутствует уязвимость CVE-2019-5241, допускающая локальное повышение привилегий.
Позднее стало известно еще об одной уязвимости — CVE-2019-5242, которая допускает локальный запуск произвольного кода.
«Обнаружив возможность свободно вызывать обработчики IOCTL в драйвере из-под пользовательского режима, мы начали искать другие возможности для злоупотребления. И нашли: драйвер позволяет устанавливать произвольное соответствие любой физической странице в пользовательском режиме с разрешениями на чтение и запись. Вызвав такой обработчик, можно дать любому коду с низкими привилегиями возможность производить чтение и запись за пределами данного процесса — в том числе, в других процессах или даже в пространстве ядра. Это, естественно, означает полную компрометацию машины», — говорится в бюллетене Microsoft.
Заделали давно и быстро
Информация об обеих уязвимостях была предоставлена в Huawei в январе 2019 г. Тогда же были выпущены исправления. В Microsoft отметили, что содействие со стороны Huawei носило оперативный и профессиональный характер.
«Ключевая причина этих ошибок — недостаточность проверки допустимых пределов памяти, — отмечает Михаил Зайцев, эксперт по информационной безопасности компании SEC Consult Services. — Это одна из самых распространенных ошибок при написании кода, особенно, когда программист не берет в расчет соображения безопасности и не использует рекомендованные подходы. Но от подобных проблем не застрахован никто, включая крупнейших разработчиков ПО и ИТ-оборудования».