Falla nella schermata Impostazioni di Windows 10, ma la patch non arriverà mai Per Microsoft non è una vera vulnerabilità.

Con l’introduzione di Windows 10, Microsoft ha iniziato un lento percorso di abbandono del vecchio Pannello di Controllo in favore di una nuova schermata Impostazioni costruita secondo i principi del Modern Design.

Ora però Matt Nelson, esperto di sicurezza di SpecterOps, ha scoperto che il nuovo formato di file .SettingContent-ms introdotto con questa novità costituisce un potenziale problema di sicurezza.

.SettingContent-ms altro non è che un file XML usato per creare le scorciatoie alle pagine della schermata Impostazioni e che contiene un tag < DeepLink > per specificare dove, sul disco, si trovi quella particolare pagina.

Il problema sta nel fatto che è possibile sostituire il contenuto del tag con pressoché qualsiasi altro eseguibile binario presente nel sistema, compresi file binari come gli interpreti di comandi Cmd.exe e PowerShell.exe. Non solo: è ancora possibile impostare l’esecuzione di due file eseguibili in sequenza.

A questo punto il pericolo dovrebbe essere chiaro: un utente potrebbe essere facilmente indotto a far doppio clic su quella che apparentemente è una scorciatoia per una delle impostazioni di Windows ma invece è un file pericoloso, eventualmente anche ospitato da un server remoto.

Quando si clicca su un file del tipo .SettingContent-ms, infatti, i normali controlli eseguiti da Windows 10 e Windows Defender sui file remoti non sono attivi: quindi qualunque malware può essere ottenuto ed eseguito «senza alcuna notifica o avvertimento per l’utente».

A peggiorare le cose c’è il fatto che è possibile nascondere una scorciatoia .SettingContent-ms all’interno di un documento di Office usando OLE (Object Linking and Embedding): il tipo di file in questione, infatti, non è elencato tra quelli potenzialmente pericolosi e per il quali l’inserimento tramite OLE è stato disabilitato da Microsoft proprio per prevenire l’inclusione di file pericolosi.

Se a ciò si aggiunge che .SettingContent-ms è capace di aggirare la funzione Attack Surface Reduction (ASR) di Windows 10, si capisce come gli elementi per ritenere questo comportamento alla stregua di una pericolosa vulnerabilità ci siano tutti.

Microsoft, però, contattata da Nelson ha risposto di non considerarla tale, e pertanto non ci sarà alcuna patch in proposito nel prossimo Martedì delle Patch.

È tuttavia probabile che il tipo di file .SettingContent-ms venga incluso nella lista nera di OLE, così da disabilitarne l’inserimento nei documenti di Office e limitare in tal modo la portata dell’attacco.

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *