Системная утилита HP допускает подмену DLL

Исследователи нашли опасную уязвимость в программе Touchpoint Analytics, установленной на большинстве компьютеров HP.

Специалисты HP залатали опасный баг в приложении Touchpoint Analytics Client. Уязвимость позволяла злоумышленнику повысить свои привилегии на целевом компьютере и выполнить вредоносный код с системными правами. Исследователи компании SafeBreach, обнаружившие недостаток, раскрыли технические детали ошибки после того, как производитель подготовил патч.

Приложение Touchpoint Analytics Client предназначено для сбора информации о производительности системы и устанавливается на большинство компьютеров HP под управлением Windows. Как выяснили ИБ-специалисты, для мониторинга температуры, скорости вращения кулера и других параметров машины приложение использует стороннюю библиотеку Open Hardware Monitor. Ее процессы выполняются с системными правами и предполагают загрузку нескольких дополнительных DLL.

Аналитики обнаружили, что в коде Open Hardware Monitor не указан точный адрес расположения необходимых ей объектов. Программа ищет библиотеки atiadlxx.dll, atiadlxy.dll и Nvapi64.dll в системных каталогах, а далее — в папках, заданных через переменную окружения PATH. Кроме того, как выяснили специалисты, приложение не проверяет цифровую подпись полученных файлов перед запуском.

HP Touchpoint Analytics может загрузить вредоносные DLL

Если один из PATH-каталогов на уязвимой машине разрешает запись файлов обычному пользователю, злоумышленник с локальным доступом к системе сможет добавить в него вредоносные версии библиотек. В результате Open Hardware Monitor выполнит эти DLL с привилегиями уровня SYSTEM, что открывает возможности для широкого спектра кибератак.

Уязвимость зарегистрирована как CVE-2019-6333 с рейтингом угрозы 6,7 балла по шкале CVSS. Баг присутствует во всех версиях HP Touchpoint Analytics Client младше 4.1.4.2827. Обновление безопасности, устраняющее недостаток, появилось на сайте разработчика 4 октября 2019 года.

В прошлом году HP пришлось срочно латать уязвимости в прошивке своих принтеров. Девятибалльный баг в системном ПО 166 моделей печатающих устройств позволял злоумышленнику выполнить вредоносный код через переполнение стека или статического буфера. Для эксплуатации недостатка атакующему было достаточно лишь отправить на целевой принтер специальный файл.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля