Поделиться
Атакована недоисправленная уязвимость в Windows
Баг, вызванный недоработанным исправлением предыдущей уязвимости Windows, находится под активной атакой, несмотря на низкий, казалось бы, уровень угрозы.
Социальная инженерия или...
Корпорация Microsoft объявила, что уязвимость в Shell-оболочке в ОС Windows подвергается активной эксплуатации, несмотря на её низкий индекс угрозы - 4,3 из 10 по шкале CVSS.
Уязвимость, получившая индекс CVE-2026-32202, открывает потенциальным злоумышленникам доступ к значимой информации в силу ошибки в механизме защиты.
«Сбой в механизме защиты оболочки Windows позволяет неавторизованному злоумышленнику осуществлять подмену IP-адресов по сети», - говорится в бюллетене Microsoft. - «Злоумышленнику необходимо отправить жертве вредоносный файл, который та должна будет запустить».
Таким образом, успешная атака возможна - по идее - только через социальную инженерию.
«Злоумышленник... может получить доступ к некоторой конфиденциальной информации, но в затронутом компоненте могут быть раскрыты не все ресурсы. Злоумышленник не может вносить изменения в раскрытую информацию... или ограничивать доступ к ресурсу...», - пояснили в Microsoft.
Уязвимость была устранена в рамках недавнего Patch Tuesday.
...Zero-click?
Сторонние исследователи, однако, указывают, что уязвимость относится к разряду zero click, то есть, не требующих какого-либо содействия со стороны пользователя целевой системы.
CVE-2026-32202 стала следствием незавершённого исправления для другой, более ранней уязвимости CVE-2026-21510 (которую, наряду с CVE-2026-21513, эксплуатировала группировка APT28/Fancy Bear).
По данным Akamai, исправление хотя и снизило риск удалённого выполнения кода за счёт проверки SmartScreen цифровой подписи и зоны происхождения файла CPL, которыми пользовались атакующие, патч не предотвращал аутентификацию машины жертвы на сервере атакующих и позволял автоматически загружать файл CPL, - разрешая путь Universal Naming Convention (UNC) и инициируя SMB-соединение без участия пользователя.
«Когда этот путь является UNC-путём (например, '\attacker.com\share\payload.cpl'), Windows инициирует SMB-соединение с сервером злоумышленника, - говорится в публикации Akamai. - Это соединение по протоколу server message block (SMB) запускает автоматическое рукопожатие аутентификации NTLM, отправляя хэш Net-NTLMv2 жертвы злоумышленнику, который впоследствии может быть использован для атак NTLM-relay и оффлайн-взлома».
Промежуток между разрешением пути и проверкой подлинности оставило злоумышленникам возможность осуществлять кражу реквизитов доступа через автоматическую обработку LNK-файлов, заключили в Akamai.
«Ещё одной из причин справедливо называется предоставление некорректных данных со стороны вендора: в Microsoft далеко не сразу признали, что повторно исправленная уязвимость оставалась атакуемой, несмотря на новый CVE-индекс, - отмечает Дмитрий Пешков, эксперт по информационной безопасности компании SEQ».
Эксперт добавил, что неполные исправления порой создают даже больше проблем, чем их полное отсутствие, поскольку создают иллюзию защищённости.
Поделиться
Короткая ссылка
