Microsoft Kablosuz Görüntü Bağdaştırıcısı. Dizüstü G7
Microsoft Kablosuz Görüntü Bağdaştırıcısı V2'de üç güvenlik açığı tanılandı: komut yerleştirme güvenlik açığı, bozuk erişim denetimi güvenlik açığı ve kötü ikiz saldırı güvenlik açığı. İlk güvenlik açığı yalnızca Microsoft Kablosuz Ekran Bağdaştırıcısı V2 yazılım sürümleri 2.0.8350 - 2.0.8372'de test edilmiş ve bu aralıktaki tüm sürümleri etkilediği görülmüştür. Bozuk erişim kontrolü ve kötü ikiz saldırı güvenlik açıklarının, test edilen aralıkta yalnızca yazılım sürümü 2.0.8350'yi etkilediği bulunmuştur. Yazılımın diğer sürümleri test edilmedi ve güvenlik açıklarından henüz yararlanılmadı. Komut enjeksiyonu güvenlik açığına etiket atandı CVE-2018-8306 ve nispeten ılımlı bir risk değerlendirmesi verildi.
Microsoft Kablosuz Ekran Bağdaştırıcısı, Miracast özellikli Microsoft Windows cihazlarından ekranların yayınlanmasına izin veren bir donanım cihazıdır. Mekanizma, ekranı yayınlamak için Wi-Fi Direct bağlantısını ve Miracast ses / video aktarım kanalını kullanır. İşlem, ek güvenlik için kullanılan Wi-Fi bağlantısının şifrelemesine göre WPA2 ile şifrelenmiştir.
Cihazı ekranla eşleştirmek için mekanizma hem bir düğme bağlantısı hem de bir PIN bağlantısı sunar. Bağlantı kurulduktan sonra, cihazın sonraki her bağlantı için doğrulanmasına gerek yoktur.
Daha önce elde edilen bu yetkilendirmeye devam edildiğinde, görüntü bağdaştırıcısının adı 'NewDeviceName' parametresinde ayarlandığında bir komut ekleme güvenlik açığı ortaya çıkabilir. Karakterlerin komut satırı betiklerinden çıktığı bir durum yaratan aygıt, düzgün çalışmayı durdurduğu bir önyükleme döngüsüne ayarlanır. Bu güvenlik açığından etkilenen komut dosyası, “/cgi-bin/msupload.sh” komut dosyasıdır.
İkinci güvenlik açığı olan bozuk erişim kontrolü, cihaz eşleştirme için basma düğmesi yapılandırma yöntemi kullanıldığında, yalnızca cihazın kablosuz menzilde olmasını ve PIN doğrulaması için fiziksel erişime ihtiyaç duyulmaması durumunda ortaya çıkabilir. İlk bağlantı bu şekilde kurulduktan sonra, sonraki bağlantıların doğrulanması gerekmez, bu da riskli bir cihazın sınırsız kontrole sahip olmasına izin verir.
Üçüncü güvenlik açığı, kötü ikiz saldırısı, bir saldırgan, bir kullanıcıyı doğru MSWDA'ya bağlanarak ve yalnızca kullanıcının bağlanması için saldırganın kendi MSWDA'sını çıkararak kendi MSWDA cihazına bağlanmaya yönlendirdiğinde ortaya çıkar. Bağlantı kurulduktan sonra, kullanıcı yanlış cihaza bağlandığını bilemeyecek ve saldırgan, kullanıcının dosyalarına ve verilerine erişerek cihazındaki içeriği akışa alacaktır.
Microsoft ile başlangıçta 21stMart ayı bu güvenlik açıkları ile ilgili. CVE numarası 19inciHaziran ayı ve cihaz yazılımı güncellemeleri 10inciTemmuz ayının. O zamandan beri, Microsoft şimdi kamuya açıklama yaptı tavsiye . Güvenlik açıkları, Microsoft Kablosuz Görüntü Adaptörü V2 yazılımının 2.0.8350, 2.0.8365 ve 2.0.8372 sürümlerini toplu olarak etkiler.
Microsoft tarafından 'önemli' olarak etiketlenen güvenlik güncelleştirmeleri, yayınlanan güvenlik bülteninin bir parçası olarak web sitelerinde her üç sürüm için de mevcuttur. Önerilen başka bir azaltma önlemi, kullanıcıların Microsoft Kablosuz Görüntü Adaptörü Windows uygulamasını açmasını ve 'Güvenlik Ayarı' sekmesi altındaki 'PIN Kodu ile Eşleştir' yanındaki kutuyu işaretlemesini gerektirir. Bu, ekranını görüntülemek ve PIN kodlarını eşleştirmek için aygıta fiziksel erişimin gerekli olmasını sağlar ve kablosuz olarak erişilebilen istenmeyen bir aygıtın kuruluma kolayca bağlanmamasını sağlar. Üç sürümü etkileyen güvenlik açıklarına bir CVSS 3.0 her biri 5,5 temel puan ve her biri 5 geçici puan.
