Analitycy z firmy Guardicore odkryli krytyczną lukę z zabezpieczeniach hiperwizora Microsoftu (CVE-2021-28476). Jak stwierdzono, wykorzystanie podatności może mieć druzgocący wpływ na działanie całego systemu, bowiem umożliwia unieruchomienie hosta lub wykonanie na nim dowolnego kodu.

Co ważne, podatne na ataki są jedynie lokalne wdrożenia bazujące na Hyper-V. Problem nie dotyczy Azure.

Błąd, który w klasie CVSS otrzymała ocenę 9.5, występuje w sterowniku przełącznika sieciowego Hyper-V (vmswitch.sys) i dotyczy Windows 10 i Windows Server 2012 do 2019 r. Luka pojawiła się w kompilacji z sierpnia 2019 r.

Listę zagrożonych systemów Microsoftu znajdziecie tutaj.

Wada polega na tym, iż przełącznik wirtualny Hyper-V nie weryfikuje wartości żądania OID (identyfikator obiektu) przeznaczonego dla karty sieciowej.

Napastnik, który skutecznie wykorzysta tę lukę, musi mieć dostęp do maszyny wirtualnej gościa, a następnie wysłać specjalnie spreparowany pakiet do hosta funkcji Hyper-V. Rezultatem może być albo awaria hosta – i zamknięcie wszystkich działających na nim maszyn wirtualnych, albo możliwość zdalnego wykonania kodu na hoście, co daje pełną kontrolę nad nim i podłączonymi „wirtualkami”.

Zagrożenie jest spore, bo Hyper-V jest drugim pod względem popularności oprogramowaniem do tworzenia maszyn wirtualnych. Microsoft wypuścił już niezbędną łatkę.

„Wprawdzie Microsoft wydał aktualizację do luki CVE-2021-28476, aczkolwiek nie wszyscy administratorzy uaktualniają urządzenia zaraz po wydaniu poprawek. Niestety, nadal spotykamy się z nieuaktualnianymi nawet przez kilka lat systemami pracującymi w sieciach korporacyjnych” – komentuje Dariusz Woźniak z Marken, dystrybutora Bitdefender w Polsce.