در تازه ترین گزارش امنیتی، پژوهشگران از کشف یک آسیب پذیری خطرناک در سیستم عامل ویندوز 11 خبردادند که به مهاجمان اجازه می دهد در عرض تنها 300 میلی ثانیه، دسترسی سطح کاربر معمولی را به سطح مدیر (Administrator) ارتقا دهند. این آسیب پذیری با شناسه CVE-2025-24076 شناخته می شود و از طریق تکنیکی موسوم به DLL Hijacking در مولفه (Host Cross Device Experience) مورد بهره برداری قرار می گیرد.
جزئیات فنی آسیب پذیری
در این حمله، مهاجم از مسیری قابل نوشتن برای کاربران عادی استفاده می کند:
%PROGRAMDATA%\CrossDevice\CrossDevice.Streaming.Source.dll
سیستم ابتدا این فایل DLL را با دسترسی پایین اجرا کرده، سپس همان فایل توسط یک سرویس دارای دسترسی بالا بارگزاری می شود. اگر مهاجم این فایل را با نسخه ای مخرب جایگزین کند، می تواند به راحتی کد دلخواه خود را با دسترسی سطح SYSTEAM اجرا نماید.
ابزار ها و تکنیک های مورد استفاده
شناسایی مسیر های آسیب پذیر
محققان با استفاده از ابزار PrivescCheck مسیر هایی را که قابلیت نوشتن توسط کاربران عادی دارند را شناسایی کردند:
Unprivileged user has modify access to:
C:\ProgramData\CrossDevice\CrossDevice.Streaming.Source.dll
رهگیری و بازنویسی API با Microsoft Detours
برای کنترل اجرای کد در DLL، از کتابخانه رسمی Microsoft Detoues استفاده شده است. این ابزار به توسعه دهندگان اجازه می دهد که فراخوانی های API ویندوز را رهگیری کرده و عملکرد دلخواه خود را به آن تزریق کنند:
DetourTransactionBegin(); DetourUpdateThread(GetCurrentThread()); DetourAttach(&(PVOID&)Real_GetFileVersionInfoExW, Hooked_GetFileVersionInfoExW); DetourTransactionCommit();
پیاده سازی DLL مخرب به صورت پروکسی
DLL مخرب به گونه ای طراحی شده که عملکرد اصلی را حفظ کرده و هم زمان کد مخرب را اجرا می کند:
// Proxy function that calls original
HRESULT __stdcall Hooked_GetFileVersionInfoExW(...) {
// اجرای بار مخرب
ExecutePayload();
// اجرای نسخه اصلی برای جلوگیری از شناسایی
return Real_GetFileVersionInfoExW(...);
}وصله امنیتی مایکروسافت و اقدامات توصیه شده
مایکروسافت در مارس 2025 به روزرسانی امنیتی برای رفع این آسیب پذیری منتشر کرد. از کاربران درخواست شده است تا:
- سیستم عامل خود را به آخرین نسخه بروزرسانی کنند.
- از ابزارهای EDR برای شناسایی رفتار های مشکوک استفاده نمایند
- دسترسی کاربران به مسیرهای سیستمی را محدود کنند
- تغییرات غیرمجاز در مسیر های DLL را نظارت کنند
نتیجه گیری
آسیب پذیری CVE-2025-24076 بار دیگر نشان داد که حتی جدیدترین نسخه های ویندوز نیز ممکن است دارای نقاط ضعف بحرانی باشند. پیاده سازی اصول امنیتی، به روزرسانی مداوم و بهره گیری از ابزار های نظارتی پیشرفته تنها راه مقابله با این تهدیدات روزافزون است.
