El enclave de Windows SmartScreen se salta mediante un fallo de memoria
Investigadores explotaron una escritura de cuatro bytes y un error de temporización para ejecutar código dentro de un enclave seguro de Windows. La vulnerabilidad afecta al componente de manejo de contraseñas de la protección SmartScreen.
Resumen
- Investigadores de seguridad han eludido las protecciones del enclave VBS de Windows usando una sobrescritura de memoria de cuatro bytes.
- La vulnerabilidad permitió la ejecución arbitraria de código en el contexto seguro de la función anti-phishing SmartScreen.
- La explotación requirió una manipulación precisa del tiempo junto con técnicas de corrupción del montículo.
- Microsoft aún no ha publicado un parche; las organizaciones deben vigilar de cerca las actualizaciones.
- Esto resalta los riesgos en los mecanismos de aislamiento basados en hardware utilizados en plataformas empresariales.
En un avance significativo para la investigación de seguridad ofensiva, expertos han demostrado un método para inyectar y ejecutar código dentro de un enclave basado en virtualización (VBS, por sus siglas en inglés) en sistemas Windows. Estos enclaves están diseñados para aislar procesos sensibles del resto del sistema operativo, incluso durante una compromisión completa del sistema. El enclave objetivo gestiona la autenticación para SmartScreen, el filtro integrado de phishing y malware de Microsoft.
El ataque se basa en dos fallos sutiles: una escritura de cuatro bytes fuera de límites y una condición de carrera basada en temporización. Juntos, estos permiten a los atacantes manipular el estado de la memoria y redirigir el flujo de ejecución dentro del entorno confiable. Esto socava una de las capas de defensa principales de Windows y plantea preocupaciones sobre la solidez de los límites de seguridad aislados por hardware.
Desglose técnico de la explotación
- La vulnerabilidad reside en cómo el enclave de SmartScreen maneja los búferes de comunicación entre procesos.
- Los atacantes aprovecharon un desbordamiento de montículo de cuatro bytes para corromper estructuras de memoria adyacentes.
- Se utilizó una operación cuidadosamente cronometrada para ganar una condición de carrera y secuestrar el flujo de control antes de que ocurriera la validación.
- La ejecución dentro del enclave permitió el acceso a credenciales almacenadas y claves criptográficas.
Implicaciones para la seguridad empresarial
- Las organizaciones que dependen de VBS para la protección de credenciales pueden estar expuestas si no aplican el parche.
- La explotación demuestra que incluso enclaves endurecidos pueden caer ante ataques precisos de bajo nivel.
- Las estrategias defensivas ahora deberían enfocarse en monitorear comportamientos anómalos en entornos de ejecución confiables.
- Los proveedores de software deben reevaluar las suposiciones sobre las garantías de aislamiento en CPU modernas e hipervisores.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.