پژوهش امنیتی از ضعف مؤلفه VBS مایکروسافت خبر می‌دهد

به گزارش Petri، پژوهشی تازه نشان می‌دهد یک ضعف در مؤلفه مورد اعتماد VBS مایکروسافت می‌تواند مسیر بالقوه‌ای برای در اختیار گرفتن محیط محافظت‌شده آن ایجاد کند. این یافته به‌ویژه برای تیم‌های امنیتی و مدیران زیرساخت ویندوز اهمیت دارد، زیرا VBS برای جداسازی اطلاعات حساس و اعتبارنامه‌ها از فرایندهای معمول سیستم‌عامل به کار می‌رود.

پژوهشگران در SFAPE.dll چه یافتند؟

Adrian Denkiewicz از شرکت امنیتی Doyensec در این بررسی روی SFAPE.dll تمرکز کرده است؛ مؤلفه‌ای که نقش enclave قابلیت Enhanced Phishing Protection در Microsoft Defender SmartScreen را بر عهده دارد. این بخش، هش اعتبارنامه‌های ویندوز را نگهداری و مقایسه می‌کند تا سیستم‌عامل بتواند استفاده ناامن از گذرواژه را بدون افشای گذرواژه اصلی شناسایی کند. VBS یا Virtualization-Based Security با ایجاد یک ناحیه جداگانه و قابل‌اعتمادتر به نام Isolated User Mode، بارهای کاری بسیار حساس را از بخش‌های کم‌اعتمادتر ویندوز تفکیک می‌کند. قابلیت‌هایی مانند Credential Guard، SmartScreen، Recall و Enhanced Phishing Protection از این مرز امنیتی استفاده می‌کنند. با این حال، enclave ناچار است داده‌هایی را از برنامه‌های بیرونی دریافت کند و اعتبارسنجی ناقص اشاره‌گرها، طول بافرها یا ارجاع‌های حافظه می‌تواند به فساد حافظه منجر شود. طبق نتایج پژوهش، یک قابلیت فساد حافظه در SFAPE می‌تواند برای دستیابی به کنترل گسترده بر یک نمونه enclave به کار گرفته شود. پژوهشگران می‌گویند در صورت موفقیت، چنین محیطی ممکن است به بستری برای بررسی مؤلفه‌های محافظت‌شده ویندوز و هدف‌گیری سازوکارهایی با سطح اعتماد بالاتر تبدیل شود. این گزارش از کشف یک ضعف و مسیر بالقوه سوءاستفاده سخن می‌گوید و وقوع حمله فعال را تأیید نمی‌کند.

اهمیت موضوع برای زیرساخت‌های ویندوزی

Doyensec همچنین توجه را به نبود یک فهرست مسدودسازی اختصاصی برای enclaveهای آسیب‌پذیر در ویندوز جلب کرده است؛ سازوکاری مشابه Vulnerable Driver Blocklist که برای درایورهای ناامن وجود دارد. در آزمایش‌های قبلی، نسخه‌های آسیب‌پذیر enclave همچنان قابل بارگذاری بودند و این وضعیت احتمال استفاده مجدد از باینری‌های قدیمی را مطرح می‌کرد. برای سازمان‌هایی که به امنیت Windows Server، ایستگاه‌های کاری و اعتبارنامه‌های سازمانی متکی هستند، این یافته اهمیت بازبینی مستمر لایه‌های مورد اعتماد را برجسته می‌کند. توسعه‌دهندگان enclave نیز باید همه داده‌های دریافتی از فرایند میزبان را غیرقابل‌اعتماد فرض کنند و کنترل‌های دقیق حافظه را در اولویت بگذارند. در مجموع، VBS همچنان یک لایه جداسازی مهم برای محافظت از داده‌های حساس است؛ اما گسترش استفاده از enclaveها سطح حمله‌ای تخصصی‌تر ایجاد می‌کند. نتیجه این پژوهش بیش از آنکه نشانه شکست اصل جداسازی باشد، یادآور نیاز به آزمون امنیتی پیوسته و مقاوم‌سازی مؤلفه‌های مورد اعتماد ویندوز است.