SafeBreach Labs 研究員 Alon Leviev 揭露 Microsoft Windows Update 架構存在重大漏洞，警告惡意駭客可能發動軟體降級攻擊，使全球任何 Windows 電腦上的「完全更新」一詞失去意義。
黑帽駭客大會驚人演示
Leviev 在今天拉斯維加斯舉行的黑帽駭客大會上，展示了他如何接管 Windows Update 程序，對關鍵作業系統元件進行自定義降級，提升權限並繞過安全功能。
Leviev 表示，他能夠讓一台完全更新的 Windows 電腦容易受到數千個過去的漏洞影響，將已修復的漏洞變成零日漏洞。
Windows Downdate 工具繞過所有驗證
這位以色列研究員發現了一種操縱操作列表 XML 檔案的方法，推出一種名為 Windows Downdate 的工具，可以繞過所有驗證步驟，包括完整性驗證和可信安裝程式執行。
Leviev 在演示前接受《SecurityWeek》訪問時表示，該工具能夠降級基本的作業系統元件，導致作業系統錯誤地報告其已完全更新。
降級攻擊的嚴重影響
降級攻擊，也稱為版本回滾攻擊，能將一個已更新且安全的軟體回滾到舊版本，使其暴露於已知且可被利用的漏洞中。
研究動機與發現
Leviev 表示，在發現 BlackLotus UEFI Bootkit 也包含軟體降級元件後，他受到啟發開始檢查 Windows Update。他在 Windows Update 架構中發現了幾個漏洞，可以降級關鍵作業系統元件，繞過 Windows 虛擬化安全（VBS）UEFI 鎖定，並暴露虛擬化堆疊中過去的權限提升漏洞。
Microsoft 回應與修補計劃
Microsoft 發言人向《SecurityWeek》表示，公司正在開發安全更新，將撤銷過時的、未修補的 VBS 系統檔案，以緩解這一威脅。由於需要阻擋大量檔案，因此需要進行嚴格測試以避免整合失敗或倒退。
Microsoft 計劃在 Leviev 的黑帽演示同日發布 CVE，並將在可用時向客戶提供緩解措施或相關風險降低指導。目前尚不清楚全面修補程式何時發布。
更多技術細節與影響
Leviev 還展示了針對 Windows 虛擬化堆疊的降級攻擊，利用了一個設計缺陷，允許較低權限的虛擬信任級別更新位於較高權限虛擬信任級別的元件。
他將這些軟體降級回滾描述為「無法檢測」和「不可見」，並警告這種駭客攻擊的影響可能超出 Windows 作業系統的範圍。
最新進展
Microsoft 於週三發布了兩個新的公告，描述了 SafeBreach 的 Leviev 發現的 Windows 漏洞：CVE-2024-21302 和 CVE-2024-38202。
該公司表示正在開發安全更新以緩解威脅，但目前尚未提供。同時，Microsoft 已分享指導方針，幫助客戶降低與這些漏洞相關的風險。
