Microsoft нашла серьезные уязвимости в продуктах Huawei

Два бага допускали повышение локальных привилегийи запуск произвольного кода. Тем не менее, «критического» статуса они неполучили. Исправления были внесены в начале 2019 г.

Серьезные, но не критичные

Эксперты по безопасностикорпорации Microsoft обнаружили две серьезные уязвимости в разработках китайской фирмы Huawei. Выявленные багидопускали повышение привилегий в системе и запуск произвольного кода.

Проблема обнаружилась винструменте Huawei PCManager,предустановленном на ноутбуках MateBook. Система Advanced Threat Protection в антивирусе MicrosoftDefender обнаружила некое «аномальное поведение» вдрайвере, и дальнейший анализ показал, что в программе присутствует уязвимость CVE-2019-5241, допускающаялокальное повышение привилегий.

Позднее стало известноеще об одной уязвимости — CVE-2019-5242, которая допускает локальный запускпроизвольного кода.

Эксперты Microsoft выявили серьезные уязвимости в продуктах Huawei

«Обнаружив возможностьсвободно вызывать обработчики IOCTL в драйвере из-под пользовательского режима, мыначали искать другие возможности для злоупотребления. И нашли: драйверпозволяет устанавливать произвольное соответствие любой физической странице впользовательском режиме с разрешениями на чтение и запись. Вызвав такойобработчик, можно дать любому коду с низкими привилегиями возможностьпроизводить чтение и запись за пределами данного процесса — в том числе, вдругих процессах или даже в пространстве ядра. Это, естественно, означаетполную компрометацию машины», — говорится в бюллетене Microsoft.

Заделали давно и быстро

Информация об обеихуязвимостях была предоставлена в Huawei в январе 2019 г. Тогда же были выпущеныисправления. В Microsoft отметили, что содействие со стороны Huawei носило оперативный и профессиональный характер.

«Ключевая причина этихошибок — недостаточность проверки допустимых пределов памяти, — отмечает Михаил Зайцев, эксперт поинформационной безопасности компании SEC Consult Services. — Это одна из самых распространенных ошибок принаписании кода, особенно, когда программист не берет в расчет соображениябезопасности и не использует рекомендованные подходы. Но от подобных проблем незастрахован никто, включая крупнейших разработчиков ПО и ИТ-оборудования».