Kritisk Windows-sårbarhed opdaget: Potentiale til at blive udnyttet i samme omfang som EternalBlue

20. december 2022 kl. 10:5522
Kritisk Windows-sårbarhed opdaget: Potentiale til at blive udnyttet i samme omfang som EternalBlue
Illustration: anatolir/Bigstock.
»En angriber kan udnytte sårbarheden via alle Windows-applikationsprotokoller, der autentificerer,« siger Valentina Palmiotti, der er sikkerhedsforsker i IBM, og som opdagede fejlen.
person
Artiklen er ældre end 30 dage
person

IBM-sikkerhedsforskeren Valentina Palmiotti har opdaget sårbarheden CVE-2022-37958, der ifølge Ars Technica har potentiale til at blive udnyttet i samme omfang som EternalBlue-sårbarheden, der resulterede i WannaCry-cyberangrebene.

Det skriver Ars Technica.

CVE-2022-37958 blev patchet i Septembers Patch Tuesday.

Læs også: DI Digital: Ny digitaliseringsminister bør fokusere på EU's massive detailregulering

Artiklen fortsætter efter annoncen

CVE-2022-37958-sårbarheden er wormable, hvilket betyder, at en enkelt udnyttelse kan udløse en kædereaktion af selvreplikerende opfølgende udnyttelser på andre sårbare systemer. Det muliggør at angreb kan sprede sig over hele verden i løbet af få minutter uden brug af brugerinteraktion.

»En angriber kan udnytte sårbarheden via alle Windows-applikationsprotokoller, der autentificerer,« siger Valentina Palmiotti til Ars Technica.

»Sårbarheden kan for eksempel udnyttes ved at forsøge at oprette forbindelse til en SMB-*share* eller via Remote Desktop. Andre eksempler inkluderer interneteksponerede Microsoft IIS-servere og SMTP-servere, der har Windows-godkendelse aktiveret. Selvfølgelig kan de også udnyttes på interne netværk, hvis de ikke er patchede.«

Læs også: »Ekstremt modstandsdygtig over for takedowns«: Blockchain-understøttet botnet dukket op igen

CVE-2022-37958 tillader angribere at eksternt køre ondsindet kode ved at få adgang til NEGOEX-protokollen, mens et offer bruger en Windows-applikationsprotokol, der godkendes. Udover SMB og RDP omfatter listen over berørte protokoller også Simple Message Transport Protocol (SMTP) og Hyper Text Transfer Protocol (HTTP).

Fokus
Emner
22 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Køb abonnementFå prøveabonnement

Jobs

Dine job
Vis alle

Fortsæt din læsning

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
15
Anne-Marie Krogsbøll
20. december 2022 kl. 16:38

"It will be one thing, say, later this year or in 2022, to buy a new PC with Windows 11. We can be reasonably certain that Windows 11 will run on your new Dell, HP, or Lenovo PC. Maybe some of your drivers and programs won't run, but Windows 11 itself? No problem. But, if you want to update your existing computers, especially those that have a few years on them — that’s another story. It's difficult to know whether any given computer will run Windows 11, "https://www.computerworld.com/article/3633630/windows-11-just-say-no.html

Det er ikke rimeligt ift. en forholdsvis ny computer!

  • more_vert
    • insert_linkKopier link
1
Anne-Marie Krogsbøll
20. december 2022 kl. 12:18

Hvor er det træls!

Netop i disse dage er Microsoft i gang med at forsøge at voldtage mig til at gå over til Windows 11. Det har jeg ikke lyst til, men Windows har ikke spurgt om samtykke - har bare hentet opgraderingen, og truer nu med at installere den, hvis jeg ikke aktivt udsætter og udsætter.

Det har jeg så gjort: Valgt at udsætte til en gang i januar (der er ikke ret lang mulighed for at udsætte), hvor der forhåbentlig er lidt flere hjerneceller til rådighed end her op til jul. For det kræver nørderi at finde ud af, hvordan man helt undgår denne tvangsmigrering. I hvert fald for mig.

Men det betyder jo så også, at jeg i en periode har fravalgt automatiske opdateringer - for det var den eneste mulighed, jeg kunne finde, for at udskyde Windows 11.

Og det er jo ikke godt at sige "nej" til automatiske sikkerhedsopdateringer, når en sådan modbydelig worm ligger på lur over hele verden...

(i princippet kører jeg med stor glæde Linux - men i praksis har skæbnen de seneste par år spændt ben for dèn løsning på windowsproblemer)

  • more_vert
    • insert_linkKopier link
5
Carsten Stenberg
20. december 2022 kl. 14:31

Anne-Marie: Man kan faktisk godt stoppe disse evindelige opdateringer af Windows, så det kun er antivirus-programmet Defender, der opdateres dagligt.

Det kræver "blot" at der i registeringsdatabasen indsætte nogle værdier, som fortælle hvilken version der skal stoppes ved, hvorefter man kan udskyde opdateringer i årevis, herunder installation af Windows 11.

Du kan google dig til løsningerne med "windows disable updates".

Risikoen er selvfølgelig, at man bliver mere sårbar, men hvis man ellers undlader at installerer et hav af programmer af tvivlsom karakter, undlader at klikke på mystiske links i sine mails, ikke dele drev med andre brugere, tage backup af sine data osv, får man en maskine, som man kan arbejde uforstyret på.

  • more_vert
    • insert_linkKopier link
2
Anne-Marie Krogsbøll
20. december 2022 kl. 13:24

Nå - nu gjorde den bedre halvedel mig opmærksom på, at sårbarheden er patched i september, så det går nok - men alligevel: Det er altså træls med disse evindelige voldtægtsforsøg...Hvornår kommer der en lov om eksplicit samtykke på it-området?

  • more_vert
    • insert_linkKopier link
3
Maciej Szeliga
20. december 2022 kl. 13:34

Du skulle have læst din EULA før du sagde "Ja".... det er det ja som betyder at du har afgivet retten til at beklage dig.

Det er derfor mit OS er Linux - hvad arbejdsgiveren pådutter mig af system er deres problem.

Jeg var i øvrigt ret sikker på at du brugte Ubuntu ?

  • more_vert
    • insert_linkKopier link
4
Anne-Marie Krogsbøll
20. december 2022 kl. 13:43

Du skulle have læst din EULA før du sagde "Ja".... det er det ja som betyder at du har afgivet retten til at beklage dig.

Nej, det har jeg bestemt ikke afgivet retten til. Jeg er ikke blevet præsenteret for noget EULA, der kom bare pludselig en besked om, at jeg kunne få lov at udsætte installationen. Og uanset hvad så anerkender jeg ikke EULAs, som er lavet bevidst uforståelige og utilgængelige.

Mht. Linux så har jeg kørt Mint Cinnamon - og muligvis til sidst Xfce, som vist kom præinstalleret i den linux-computer, jeg købte - refurbished military grade.... Fungerede fint, indtil noget gik galt. Jeg ved, at det er let at geninstallere - men lige nu er der ikke desto mindre ikke overskud og tid til at genopfriske hvordan.

  • more_vert
    • insert_linkKopier link
19
Claus Gårde Henriksen
21. december 2022 kl. 16:12

Jeg ved, at det er let at geninstallere - men lige nu er der ikke desto mindre ikke overskud og tid til at genopfriske hvordan

He he. Ja hvis man ikke gider finde ud af at binde skoene, må man nøjes med de hullede gummistøvler.

  • more_vert
    • insert_linkKopier link
11
Maciej Szeliga
20. december 2022 kl. 15:46

Nej, det har jeg bestemt ikke afgivet retten til. Jeg er ikke blevet præsenteret for noget EULA, der kom bare pludselig en besked om, at jeg kunne få lov at udsætte installationen. Og uanset hvad så anerkender jeg ikke EULAs, som er lavet bevidst uforståelige og utilgængelige.

EULA'en bliver præsenteret første gang man starter en ny (eller refurbished) PC. Du kan vælge "Ja, jeg sælger min sjæl og mine børn til Redmonds forgotbefindende" eller "Nej" - hvorefter maskinen lukker ned og du kan begynde forfra indtil du siger "Ja".

Der står blandt andet at du ikke ejer Windows men har kun retten til at bruge den og at Microsoft har ret til at ændre i "din" Windows efter deres forgodtbefindende.

  • more_vert
    • insert_linkKopier link
12
Anne-Marie Krogsbøll
20. december 2022 kl. 15:55

Når jeg starter min pc op, støder jeg ikke på nogen EULA. For det tilfælde at jeg bare ikke opdager den, så er den åbenbart skjult et sted, og så er det i mine øjne (jeg taler ikke om den skumle jura, som BigTech benytter sig af) ikke legalt at tage brugerne til fange på den måde. Jeg har købt og betalt computeren og styresystemet, og har sagt "ja" til Windows 10. At Microsoft pludseligt vil tvinge mig over på Windows11 - ellers kan jeg kassere min computer - er i mine øjne ikke "legalt" - det er urimeligt og lusket og illegalt på samme måde som andre uigennemskuelige cookietilsagn og brugerbetingelser.

Jeg taler ikke om jura - jeg taler om, at BigTech som sædvanligt er nogle svinemikler, som burde bagbindes og kastes i havet. Det er ikke rimeligt at skrive brugerbetingelser så utilgængeligt, at brugeren ligeså godt kan bruge tiden på at programmere sit eget styresystem.

  • more_vert
    • insert_linkKopier link
20
Henrik Rosenorn
22. december 2022 kl. 10:35

Hej Anne-Marie Enig; Microsofts EULA er fuldstændig uigennemskuelig. Det omfatter imidlertidigt også en del databehandlingssamtykke

Som GDPR professionel siger jeg naturligvis ikke bare "ja" til licensbetingelser, men læser dem igennem (det er ret tidskrævende, så nej; Jeg bruger ikke længere Google og FB)

Jeg har dermed 8 august anmeldt Microsoft til datatilsynet for netop deres EULA som ikke lever op til:

  1. GDPR Art 7, 2 (Se https://gdpr-info.eu/art-7-gdpr/) og art 12,1 mfl om overskuelig information
  2. Art. 6; Skal være muligt at læse betingelserne inden samtykke
  3. Art 7.3 "It shall be as easy to withdraw as to give consent." ..!! ??

Ja: Accepter og gå videre: Nej: Accepter, gå videre, Gå til kontrolpanel>privatliv. Slå samtykke fra ved at ændre "Ja" til "nej" i 5-6 punkter under hver af de 8 sektioner. 4. Recital 32 : "Silence, preticked boxes or inactivity should not therefore constitute consent" følger direkte af forrige klagepunkt.

Jeg har dog endnu ikke fået nogen reaktion fra tilsynet.

Mvh Henrik

  • more_vert
    • insert_linkKopier link
21
Anne-Marie Krogsbøll
22. december 2022 kl. 10:41

Hej Henrik.

Tak for svar. Stærkt, at du har anmeldt dem. Det jeg også haft lyst, men ikke kræfter, til. Jeg håber, at du vil delagtiggøre os andre i svaret. Når det engang kommer, for det er da utrolig lang svartid. Jeg ville da blive bekymret for, om noget er gået galt på vejen.
Mvh. Anne-Marie

  • more_vert
    • insert_linkKopier link
13
Maciej Szeliga
20. december 2022 kl. 16:23

Når jeg starter min pc op, støder jeg ikke på nogen EULA. For det tilfælde at jeg bare ikke opdager den, så er den åbenbart skjult et sted, og så er det i mine øjne (jeg taler ikke om den skumle jura, som BigTech benytter sig af) ikke legalt at tage brugerne til fange på den måde. Jeg har købt og betalt computeren og styresystemet, og har sagt "ja" til Windows 10. At Microsoft pludseligt vil tvinge mig over på Windows11 - ellers kan jeg kassere min computer - er i mine øjne ikke "legalt" - det er urimeligt og lusket og illegalt på samme måde som andre uigennemskuelige cookietilsagn og brugerbetingelser.

Du talerer ikke jura men det gør Microsoft og de er eksperter i det. Ingen har knaldet dem endnu.

EULAen godkender du første gang du starter en ny PC eller når du geninstallerer den... og du får ikke lov til at installere Windows før du har godkendt den.

I den står der klart og tydeligt at du ikke har købt Windows, du har udelukkende købt brugsretten til Windows og det er Microsoft der bestemmer over den Windows der er på din PC - også når det gælder opgraderinger.

Brugsretten er i øvrigt non-transferable dvs. du kan ikke sælge eller overdrage den Windows som hører til din PC til andre personer eller til en anden PC - du kan dog videresælge hele pakken.

Du er mere end velkommen at prøve at gå til forbrugerombudsmanden (der får man typisk at vide at det står i EULA'en og det er en gyldig aftale) eller selv køre en sag mod Microsoft (det vil jeg ønske dig al mulig held og lykke med).

...og når du nu stopper opdateringerne så for du heller ikke sikkerhedsopdateringer så planen er ikke helt fornuftig - og Windows 11 får du før eller siden enten ved at du tillader det eller at de tvinger dig til det... "nej, beklager, den funktion understøttes kun på Windows 11".

  • more_vert
    • insert_linkKopier link
14
Anne-Marie Krogsbøll
20. december 2022 kl. 16:31

Tak for svar, Maciej. Jeg er godt klar over det - men jeg taler ikke jura, men ret og rimelighed. Og i mine øjne er det ikke rimeligt pludselig, uden varsel, at vride armen om på mig og tvinge mig til Windows 11.

Så vidt jeg har læst mig til (hovedsagelig overskrifter, jeg er stødt på et stykke tid), så er der ikke så mange, der har lyst til at overgå til Windows11, er det ikke rigtigt? Så nu skruer Windows åbenbart bissen på?

Det er i mine øjne ikke rimeligt, at min "ret" til Windows 10 kun gælder et års tid.

Mht. understøttelse så står der faktisk, at der vil være funktioner, som fungerer i Windows10, som IKKE fungerer i Windows11. Så det bliver spændende...

  • more_vert
    • insert_linkKopier link
16
Maciej Szeliga
20. december 2022 kl. 16:45

Tak for svar, Maciej. Jeg er godt klar over det - men jeg taler ikke jura, men ret og rimelighed. Og i mine øjne er det ikke rimeligt pludselig, uden varsel, at vride armen om på mig og tvinge mig til Windows 11.

Jeg er udmærket klar over at det ikke er "ret og rimeligt" men der er endnu ingen som har været i stand til at ødelægge det for Microsoft.

Så vidt jeg har læst mig til (hovedsagelig overskrifter, jeg er stødt på et stykke tid), så er der ikke så mange, der har lyst til at overgå til Windows11, er det ikke rigtigt? Så nu skruer Windows åbenbart bissen på?

Det er korrekt - og det har de også praktiseret før så det er ikke noget nyt.

Det er i mine øjne ikke rimeligt, at min "ret" til Windows 10 kun gælder et års tid.

Det er det som er "problemet": det er ikke ejeren af PC'en som bestemmer, det er Microsoft... og det har de meget elegant skrevet ind i aftalen (EULA) så man kommer ikke langt med klager.

Mht. understøttelse så står der faktisk, at der vil være funktioner, som fungerer i Windows10, som IKKE fungerer i Windows11. Så det bliver spændende...

Det er korrekt - men det betyder bare at der er en funktionalitet som er ved at blive udfaset - de kan også pushe en alm. opdatering ud som lukker for noget som alle har brugt i årevis men nu har Microsoft så vurderet at det ikke skal bruges mere (der kan være gode årsager til det).

  • more_vert
    • insert_linkKopier link
17
Anne-Marie Krogsbøll
20. december 2022 kl. 16:53

Tak for svar, Maciej.

Det har været så utåleligt mørkt i dag, at jeg har spekuleret over, om vi har været udsat for en uopdaget solformørkelse - så det her Microsoft-benspænd var lige dråben...

Men i morgen vender det :-)

  • more_vert
    • insert_linkKopier link
18
Magnus Jørgensen
21. december 2022 kl. 09:12

Som du kan forstå fra Maciej, så har du muligvis købt din computer og står selv for den byrde det er at vedligeholde dens hardware, men i brugen minder dine rettigheder mere om en lejers. Du ejer muligvis denne hardware men i sidste ende er det Microsoft der bestemmer hvordan du bruger den. Denne aftale som du har indgået med Microsoft er der rigtigt mange mennesker der ikke er klar over at de har indgået. Det er min hovedsaglige årsag til at bruge alternative operativ systemer. Det har også sin pris, da jeg dermed ikke har adgang til alt software. Men det er prisen værd synes jeg.

  • more_vert
    • insert_linkKopier link
22
Merete Munch
9. januar kl. 09:00

Hvad kan du anbefale som alternativer? Så du har ikke en Microsoft-maskine?

  • more_vert
    • insert_linkKopier link
7
Kim Bygum
20. december 2022 kl. 14:58

Nej, det har jeg bestemt ikke afgivet retten til

Jo du har. Ellers kan du ikke køre Windows (og en masse andet)

  • more_vert
    • insert_linkKopier link
8
Anne-Marie Krogsbøll
20. december 2022 kl. 15:11

Nej, jeg har ikke.

Jeg har ikke fået mulighed for at fravælge - ikke på nogen forståelig måde, i det mindste. Ved opstart var der pludselig en stor dialogboks, som ikke gav mulighed for at sige "Nej tak" - kun "Ja tak" - ellers kunne jeg simpelthen ikke komme ind i min computer - som jeg har købt og betalt med styresystem!

Det betragter jeg ikke som et "valg". Det er samme tilgang som med ulovlige uforståelige cookiebokse og andre skumle brugerbetingelser.

  • more_vert
    • insert_linkKopier link
9
Malthe Høj-Sunesen
20. december 2022 kl. 15:32

Ved opstart var der pludselig en stor dialogboks, som ikke gav mulighed for at sige "Nej tak" - kun "Ja tak" - ellers kunne jeg simpelthen ikke komme ind i min computer - som jeg har købt og betalt med styresystem!

Det betragter jeg ikke som et "valg".

Valget var at starte din computer op og klikke "Ja". Eller returnere computeren.

  • more_vert
    • insert_linkKopier link
10
Anne-Marie Krogsbøll
20. december 2022 kl. 15:38

Det er ikke en ny computer - det er en et år gammel computer, med Windows 10 præinstalleret.

  • more_vert
    • insert_linkKopier link