Bypass cơ chế bảo vệ bộ nhớ Control Flow Guard của Microsoft

Được giới thiệu trong Windows 8.1 Update 3 và Windows 10, Control Flow Guard là giải pháp mới nhất của Microsoft chống lại tấn công memory-corruption. Công nghệ này thay thế cơ chế bảo mật thế hệ cũ đã bị bypass như Address Space Layout Randomization (ASLR) và Data Execution Protection (DEP).

Tuy nhiên, khi một bức tường bảo mật được dựng lên, các nhà nghiên cứu và hacker sẽ luôn tìm cách vượt qua nó. Control Flow Guard không phải ngoại lệ. Vào thứ sáu tuần này, tại hội nghị bảo mật DerbyCon, nhà nghiên cứu Jared DeMott sẽ trình bày kĩ thuật bypass công nghệ mới nhất Control Flow Guard. Ông đã báo cáo vấn đề đến Microsoft nhưng trước hội nghị bảo mật Black Hat nhưng Microsoft quyết định không vá và không đáng để trao tiền thưởng.

Microsoft thông báo rằng kĩ thuật này không ảnh hưởng đến tất cả hệ hống và là một mũi tấn công khó có thể khai thác. Kĩ thuật bypass của DeMott lợi dụng việc Microsoft  không triển khai Control Flow Integrity vào Control Flow Guard. “Control Flow Integrity là một lớp kiểm tra bổ sung trước khi hàm con trỏ được gọi và trả về địa chỉ hợp lệ. Microsoft cảm thấy không cần thiết cài đặt Control Flow Integrity, chỉ cài đặt hàm bảo vệ con trỏ, khiến con trỏ có thể không trả về địa chỉ”.

Kiểu bypass này có thể được sử dụng đến tấn công một lối vào trong mạng, mở cổng cho các cuộc tấn công khác, dẫn đến mất mát dữ liệu hoặc leo thang đặc quyền.

threatpost