CVE-2019-1132

Суть уязвимости

Уязвимость в компоненте Win32k (диспетчер окон) Windows позволяет локальному злоумышленнику повысить свои привилегии в системе. Это происходит из-за некорректной обработки объектов в памяти, что приводит к повреждению памяти (memory corruption).

• Сценарий атаки: Злоумышленник, имеющий доступ к системе с правами обычного пользователя, запускает специально созданное вредоносное приложение. Это приложение эксплуатирует ошибку в Win32k, что позволяет выполнить произвольный код уже в контексте ядра (с правами SYSTEM или NT AUTHORITY\SYSTEM).
• Результат: Полный контроль над системой (установка программ, просмотр/изменение/удаление данных, создание новых учетных записей).

Как исправить

Установите официальный патч безопасности от Microsoft. Уязвимость устранена в ежемесячных накопительных обновлениях.

1. Определите свою версию Windows. Выполните в командной строке: bash winver

2. Установите соответствующее обновление (KB). Для большинства актуальных на момент выпуска патча версий Windows это:

   • Windows 10 (все поддерживаемые версии 1809, 1903 и др.): Установите накопительное обновление от 9 июля 2019 года.
   • Windows 8.1 / Windows Server 2012 R2: Установите обновление KB4507459.
   • Windows 7 SP1 / Windows Server 2008 R2 SP1: Установите обновление KB4507448.

   Конкретная команда для установки (от имени администратора): bash wusa.exe "Путь_к_файлу_MSU\имя_обновления.msu" /quiet /norestart Или установите обновление через Центр обновления Windows: * Откройте Параметры -> Обновление и безопасность -> Центр обновления Windows. * Нажмите Проверить наличие обновлений и установите все предлагаемые обновления, особенно помеченные как "качественные" или "безопасность".

Временное решение

Если немедленная установка патча невозможна, примените следующие меры для снижения риска:

1. Ограничение локальных привилегий:

   • Следуйте принципу наименьших привилегий. Никто не должен работать в системе с правами администратора для повседневных задач.
   • Используйте стандартные учетные записи пользователей для работы и учетные записи с повышенными привилегиями только для администрирования.

2. Блокировка выполнения кода:

   • Для Windows 10/Windows Server 2016+ рассмотрите возможность использования Защитника Windows с включенной функцией "Управление произвольным доступом к коду" (Arbitrary Code Guard, ACG) или "Защита целостности памяти" (Memory Integrity) через Память ядра. Это может затруднить эксплуатацию.
   • Настройте и применяйте политики AppLocker или Windows Defender Application Control (WDAC) для разрешения запуска только доверенных приложений.

3. Мониторинг и обнаружение:

   • Включите аудит событий безопасности и настройте SIEM-систему на отслеживание подозрительных действий, таких как:
     • Попытки запуска процессов от имени SYSTEM из-под обычной учетной записи.
     • Создание новых служб или планировщика заданий с высокими привилегиями.
   • Используйте Microsoft Sysinternals Suite (например, Process Explorer, Autoruns) для поиска неавторизованных процессов, драйверов или автозагрузки.

Важно: Эти меры лишь снижают вероятность успешной атаки и повышают шансы на ее обнаружение, но не устраняют саму уязвимость. Установка патча обязательна.