CVE-2020-36936

IMMEDIATE ACTIONS:

1. Identify all systems running Magic Mouse 2 Utilities 2.20 using endpoint discovery tools

2. Isolate affected systems from critical network segments if patch cannot be applied immediately

3. Restrict local administrative access and enforce principle of least privilege



PATCHING:

1. Upgrade Magic Mouse 2 Utilities to version 2.21 or later immediately

2. Verify patch installation by checking service path configuration: sc qc "Magic Mouse 2 Service" (should show quoted path)

3. Restart affected services after patching



COMPENSATING CONTROLS (if patching delayed):

1. Implement file integrity monitoring on service directories

2. Apply AppLocker/Windows Defender Application Control policies to restrict executable execution in service paths

3. Enable Windows Event Log auditing for service creation/modification (Event ID 4697)

4. Restrict write permissions on service installation directories to SYSTEM and Administrators only



DETECTION:

1. Monitor for unquoted service paths: Get-WmiObject win32_service | Where-Object {$_.PathName -notmatch '"'}

2. Alert on suspicious file creation in Program Files directories with service-related names

3. Monitor process creation from unexpected paths with SYSTEM privileges

الإجراءات الفورية:

1. تحديد جميع الأنظمة التي تقوم بتشغيل Magic Mouse 2 Utilities 2.20 باستخدام أدوات اكتشاف نقاط النهاية

2. عزل الأنظمة المتأثرة عن القطاعات الحرجة في الشبكة إذا لم يكن يمكن تطبيق التصحيح فوراً

3. تقييد الوصول الإداري المحلي وفرض مبدأ الامتياز الأدنى



التصحيح:

1. ترقية Magic Mouse 2 Utilities إلى الإصدار 2.21 أو أحدث فوراً

2. التحقق من تثبيت التصحيح بفحص تكوين مسار الخدمة: sc qc "Magic Mouse 2 Service" (يجب أن يظهر مسار مقتبس)

3. إعادة تشغيل الخدمات المتأثرة بعد التصحيح



الضوابط البديلة (إذا تأخر التصحيح):

1. تنفيذ مراقبة سلامة الملفات على دلائل الخدمة

2. تطبيق سياسات AppLocker/Windows Defender Application Control لتقييد تنفيذ الملفات القابلة للتنفيذ في مسارات الخدمة

3. تفعيل تدقيق سجل أحداث Windows لإنشاء/تعديل الخدمة (معرف الحدث 4697)

4. تقييد أذونات الكتابة على دلائل تثبيت الخدمة إلى SYSTEM والمسؤولين فقط



الكشف:

1. مراقبة مسارات الخدمة غير المقتبسة: Get-WmiObject win32_service | Where-Object {$_.PathName -notmatch '"'}

2. تنبيه عند إنشاء ملفات مريبة في دلائل Program Files بأسماء مرتبطة بالخدمة

3. مراقبة إنشاء العمليات من مسارات غير متوقعة بامتيازات SYSTEM