Segurança da Informação

Segundo Patch da Microsoft para RDP que não funciona corretamente. Patch da Microsoft para falha RDP deixa espaço para outros ataques.

O patch lançado pela Microsoft em fevereiro para corrigir uma correção anterior – com problemas – lançada em agosto de 2019 por uma falha de segurança no protocolo RDP (Remote Desktop Protocol) também não funciona totalmente.

Como resultado, os invasores ainda podem tirar proveito do problema subjacente original para acessar informações confidenciais em um sistema, modificar arquivos críticos, roubar arquivos de senha, expor o código-fonte dos aplicativos da Web e realizar outras tarefas maliciosas.

A Check Point, que descobriu a vulnerabilidade original e também os problemas nos dois patches emitidos pela Microsoft para resolver a falha, pediu aos desenvolvedores de software e pesquisadores de segurança que estejam cientes do problema e garantam que seus próprios projetos de software sejam  corrigidos manualmente.

Segundo a empresa, embora o patch de fevereiro elimine a vulnerabilidade no próprio cliente RDP, ele não corrige o problema em uma API (Application Programming Interface) que desencadeou o problema o primeiro problema. O fornecedor de segurança disse que entrou em contato com a Microsoft sobre o problema após analisar o segundo patch da empresa, mas não recebeu nenhum comentário da empresa.

“A equipe de TI de grandes empresas que usam o Windows deve instalar o Patch de fevereiro da Microsoft ( CVE 2020-0655 ) para garantir a proteção do cliente RDP“, afirmou a Check Point em comunicado. Enquanto isso, os desenvolvedores precisam entender que todos os programas que incluem a função da API em questão ainda estão vulneráveis ​​a um ataque de percurso.

“Queremos que os desenvolvedores estejam cientes dessa ameaça, para que possam revisar seus programas e aplicar manualmente um patch contra ela“, observou  a Check Point.

Os bugs originais no RDP que a Check Point divulgou pela primeira vez na Black Hat USA 2019 basicamente deram aos atacantes uma maneira de realizar o que o fornecedor de segurança descreveu como um ataque RDP reverso. O RDP essencialmente oferece aos administradores do Windows e até usuários individuais uma maneira de conectar e controlar outro computador Windows remotamente por vários motivos legítimos e frequentemente usados. Em um cenário típico, um sistema cliente RDP se conectaria e controlaria um servidor RDP. A Check Point descobriu que as vulnerabilidades poderiam ser usadas para reverter o fluxo, para que o servidor RDP controlasse o cliente RDP, definindo o cenário para todo tipo de confusão.

Quando a Microsoft emitiu um patch para o problema ( CVE-2019-0887 ), os pesquisadores da Check Point descobriram que poderiam ignorar a correção e recriar a situação inversa de RDP novamente. Isso levou a Microsoft a emitir uma segunda correção para o problema como parte das atualizações mensais de patches da empresa em fevereiro. A Check Point descobriu que, embora o segundo patch funcionasse como anunciado para atenuar o problema de reversão do RDP, ele ainda deixava aberta a possibilidade de os invasores “atravessarem” os diretórios em um sistema vítima e acessar, ler e manipular arquivos para os quais não deveriam ter acesso normalmente, em ataque chamado de path-traversal.

Ironicamente o problema tinha a ver com uma API que a Microsoft recomenda como uma prática recomendada para impedir o path-traversal, de acordo com o Check Point.

“Nas práticas seguras de codificação, ao encontrar um caminho para um arquivo fornecido pelo usuário, o desenvolvedor precisa garantir que o caminho … seja representado de uma única maneira, a fim de validar que se refere a um local permitido“, diz Omri Herscovici, líder da equipe de pesquisa de vulnerabilidades da Check Point.

Os desenvolvedores do Windows fazem isso usando uma API recomendada pela Microsoft chamada “PathCchCanonicalize“. “Descobrimos que a função ‘PathCchCanonicalize’ do Windows pode ser facilmente ignorada quando um invasor está usando ‘/’ em vez de ‘\’ ao escrever um caminho“, diz Herscovici.

O fracasso da Microsoft em resolver esse problema é o que agora oferece aos atores de ameaças uma via para a realização do path-traversal.

“No CVE-2019-0887, a Microsoft tentou resolver o path-traversal com o PathCchCanonicalize sem perceber que pode ser ignorado“, observa Herscovici. “No CVE-2020-0655, a Microsoft abordou o problema ‘\’ independentemente no código de manipulação do RDP, sem corrigir a função PathCchCanonicalize.“

Até o momento, a Microsoft não ofereceu nenhum motivo para não ter corrigido esse problema, embora a Check Point tenha notificado o fornecedor sobre ele.

Segundo o Dark Reading, em um comunicado enviado por e-mail, uma porta-voz da Microsoft disse que a atualização lançada pela empresa em fevereiro resolveu o problema nos Serviços de Área de Trabalho Remota. “Estamos analisando reivindicações adicionais e tomaremos as medidas apropriadas conforme necessário para ajudar a manter os clientes protegidos“, afirmou o comunicado.

Em tempos onde o número de ataques assusta e a conformidade habita o campo fiscal, renegar a segurança é flertar com o perigo

A discussão em torno da transformação digital e suas consequências para a realidade operacional das organizações não para de ganhar novos e decisivos elementos. Seja pela construção de possibilidades inovadoras através de ferramentas assertivas, ou pelo contexto mutável e que atualmente, representa um momento de instabilidade e falta de certeza sobre os meses que virão. Entre os obstáculos de se adaptar à pandemia global de COVID-19, o modo como as empresas lidam com o fluxo e armazenamento de suas informações carece de uma atenção especial por parte de líderes e gestores, independentemente do segmento ou porte de negócio.

Na teoria, a resolução de uma cultura de dados orientada à Tecnologia da Informação mostra-se fundamental e extremamente frutífera, rendendo benefícios inquestionáveis, como a redução de custos e o aumento da produtividade. Antes de vislumbrar essas probabilidades que de fato, poderão ser concretizadas, é essencial encontrar métodos de se sustentar uma infraestrutura sólida, bem como profissionais capacitados para garantir a funcionalidade digital.

Segurança é palavra-chave nesse processo. Sem ela, é impossível sequer projetar resultados satisfatórios. Em tempos onde o número de ataques cibernéticos assusta e a privacidade e conformidade de informações pessoais são componentes que habitam o campo fiscal, renegar esse aspecto é flertar com um perigo desnecessário. Pensando nisso, preparei um artigo completo sobre o tema. Acompanhe.

Como você enxerga os dados?

Uma quantidade elevada de informações disseminadas, repassadas, depositadas em sistemas manuais e totalmente entregues a procedimentos duvidosos. Há um tempo atrás, talvez realidades como essa fossem aceitáveis, dada à mentalidade e a falta de suporte tecnológico. Tão importante quanto adotar soluções digitais, é transformar essa visão sobre um objeto que hoje é determinante para o andamento de qualquer empresa. Dados são aditivos de valor e possuem uma lista enriquecedora de utilidades e finalidades.

Se não atribuímos a devida importância à presença informacional, é pouco provável que liguemos para sua segurança, não é? Por isso, o primeiro passo é compreender a relevância de cada dado e como ele está sendo conduzido pelos métodos de trabalho selecionados. Dessa forma, podemos levantar possibilidades e identificar pontos de atenção que sirvam para simplificar e denotar assertividade às atividades.

Qual é o papel da TI?

Se antes, executivos enxergavam o departamento de TI como um setor descartável, de pouco impacto efetivo e até como um gasto desnecessário, o mercado fez questão de forçar uma remodelação desse pensamento, que já não corresponde ao mundo que vivemos. As pessoas, em termos gerais, estão interligadas por redes e mídias sociais, e dentro desse vasto universo da web, questionamentos sobre privacidade, transparência e conformidade quanto ao uso de dados tem redirecionado a maneira como as companhias se comportam, já que estão inseridas diretamente nesse contexto.

Não por acaso, a Lei Geral de Proteção de Dados (LGPD) foi formulada para contemplar e assegurar a integridade de informações pessoais obtidas pelas empresas. Apesar de postergada pelo Senado Federal, a expectativa é de que a lei entre em vigor a curto ou médio prazo. Se preparar para as normas previstas no texto referente à na nova legislação sem o protagonismo do TI pode ser um chamariz para problemas fiscais. Para se ter uma dimensão, multas e sanções milionárias são meios de punição encontrados na LGPD.

Tecnologia é ferramenta de evolução

Os efeitos práticos de uma equipe de TI fortificada e prestigiada refletem na empresa como um todo. Com plataformas digitais responsáveis pelo estoque e condução de informações, profissionais serão redirecionados para tarefas mais complexas e de cunho estratégico, deixando ações exaustivas para a máquina. Além disso, a chance de erros críticos e falhas propensas ao vazamento de dados será minimizada, diminuindo o risco de ameaças cibernéticas. Não se trata de substituir o material humano, mas de valorizá-lo com o pretexto indispensável de segurança informacional. É o simples ato de unir o que há de melhor dos dois mundos.

A forma como lidamos com departamentos de TI passa muito por essa desmistificação. Geralmente, empresas alheias ao fenômeno da transformação digital não possuem um parâmetro fiel sobre o tópico, caindo no senso comum de ideias retrógradas e pouco verossímeis. Felizmente, o entendimento sobre a segurança dos dados tem crescido no Brasil e no mundo, e é uma ótima porta de entrada para que a Tecnologia da Informação atinja seu real propósito; em prol única e exclusivamente do crescimento de todos, e claro, das empresas.

Sua empresa está preparada para garantir a segurança dos dados? Participe do debate e faça essa reflexão.

*Everton Moreira é CEO da Avanter