CVE-2016-0040
Microsoft Windows
2022-03-28
The kernel in Microsoft Windows allows local users to gain privileges via a crafted application.
Технический анализ и план устранения
Суть уязвимости
Уязвимость в ядре Microsoft Windows (Win32k.sys) позволяет локальному пользователю повысить свои привилегии в системе. Для эксплуатации злоумышленнику необходимо:
1. Иметь локальный доступ к системе (учетную запись пользователя).
2. Запустить специально созданное вредоносное приложение.
3. Приложение, используя уязвимость, может получить права уровня SYSTEM или NT AUTHORITY, что позволит выполнять любой код, устанавливать программы, просматривать/изменять/удалять данные.
Как исправить
Установите официальное обновление безопасности от Microsoft. Конкретный номер бюллетеня зависит от версии вашей ОС Windows:
- Windows 10: Установите обновление MS16-023 (февраль 2016). Конкретный номер пакета обновления (KB) зависит от вашей сборки. Установите последние накопительные обновления через Центр обновления Windows.
- Windows 8.1 / Windows Server 2012 R2: Установите обновление MS16-023 (февраль 2016). Например,
KB3135174. - Windows 7 / Windows Server 2008 R2: Установите обновление MS16-023 (февраль 2016). Например,
KB3135173.
Конкретные действия:
1. Откройте Центр обновления Windows.
2. Проверьте наличие обновлений.
3. Убедитесь, что установлены все накопительные обновления безопасности за февраль 2016 года и более поздние.
4. Для проверки установленных обновлений выполните в PowerShell:
powershell
Get-HotFix | Where-Object {$_.HotFixID -like "KB313517*"}
Временное решение
Если немедленная установка обновления невозможна, примените следующие меры для снижения риска:
- Ограничьте локальный доступ. Минимизируйте количество пользователей с правами локального входа на уязвимые системы, особенно серверы.
- Примените принцип наименьших привилегий. Убедитесь, что все пользовательские учетные записи работают с минимально необходимыми правами. Никто не должен работать под учетной записью администратора для повседневных задач.
- Контроль учетных записей (UAC). Убедитесь, что UAC включен и настроен на максимальный уровень уведомлений (по умолчанию). Это не блокирует уязвимость, но усложнит эксплуатацию.
- Аудит и мониторинг. Включите аудит успешных и неудачных попыток входа в систему (
Audit Logon Events) и аудит использования привилегий (Audit Privilege Use). Мониторьте журналы безопасности (Event ID 4672 - Special privileges assigned to new logon) на предмет подозрительной активности.