Первоначальный публичный эксплойт, нацеленный на недавно устраненную уязвимость BlueKeep в Microsoft Windows, был добавлен в инфраструктуру Rapid7 Metasploit.
Обычно упоминаемая как BlueKeep , уязвимость - это ошибка удаленного использования ядра после освобождения, которая влияет на протокол удаленного рабочего стола Windows. Злоумышленники могут использовать уязвимость для выполнения произвольного кода и захвата уязвимой машины, отправляя специально созданные запросы через RDP.
«Драйвер RDP termdd.sys неправильно обрабатывает привязки к внутреннему только каналу MS_T120, что позволяет искаженному сообщению индикации поставщика разъединения вызвать использование после освобождения. С помощью управляемого удаленного невыгружаемого пула данных / размера для удаленного выполнения канала используется гаджет косвенного вызова освобожденного канала », - объясняет Rapid7.
Доступный в открытом исходном коде , недавно добавленный модуль Metasploit был перенесен из внешнего модуля Python в собственный Ruby, чтобы использовать преимущества RDP и других улучшений библиотеки в рамках.
На данный момент модуль предназначен для 64-разрядных версий Windows 7 и Windows Server 2008 R2. В последнем случае «необходимо изменить запись реестра, чтобы включить очистку кучи по каналу RDPSND», но в случае исследования могут также использоваться альтернативные каналы, включенные по умолчанию в Windows.
На данный момент пользователю необходимо предоставить дополнительную информацию о цели для использования модуля, в противном случае целевой хост может произойти сбой.
«В модуле реализована стандартная опция TARGET только для отпечатков пальцев, которая просто проверяет уязвимый хост и отображает некоторую начальную информацию о конкретной целевой ОС, но пользователю необходимо будет указать более точную цель на основе вторичного реконструктора или до дальнейших улучшений в этот модуль обеспечивает более точное определение целевого расположения памяти ядра во время выполнения », - отмечает Rapid7.
Несмотря на то, что существуют конкретные цели для «голого металла», Virtualbox, VMware и Hyper-V, дополнительные переменные в целевых средах могут сместить базовый адрес для очистки, говорится в сообщении компании.