Редица сериозни грешки в Windows все още не са навлезли в криминалните среди, но това няма да е така завинаги – а времето, преди ZDI да публикува подробности за експлойтите, изтича.
Седем различни уязвимости в Windows, свързани с повишаване на привилегиите, все още не са отстранени от Microsoft, два месеца след като бяха разкрити на Pwn2Own 2024 във Ванкувър.
Вторникът на кръпките миналата седмица донесе със себе си пет дузини поправки на сигурността, включително поправки за активно експлоатираните бъгове CVE-2024-30051 и CVE-2024-30040. Но за разлика от Apple, Google и други, Microsoft все още не е поправила множество бъгове, открити от бели шапки през март.
До момента компанията е поправила само една. Същият проблем засегна и Google Chrome, така че когато Google написа поправка, Microsoft я пренесе в своя браузър Edge.
Няма индикации, че някоя от нерешените уязвимости в Windows в момента се използва от злонамерени хакери. Въпреки това, тъй като всяка от тях е била напълно експлоатирана от изследователи, инициативата Zero Day Initiative (ZDI) на Trend Micro, която ръководи Pwn2Own, ги счита, че са „в дивата природа“.
„Тези видове бъгове се използват много често от участниците в заплахите“, казва Дъстин Чайлдс, ръководител на отдела за осведоменост за заплахите в ZDI. „Обикновено те се комбинират с бъг за отдалечено изпълнение на код, за да завладеят системата, и представляват реална заплаха за потребителите навсякъде.“
Грешки в Windows Pwn2Own
Въпросните седем бъга за повишаване на привилегиите засягат различни компоненти на Windows. Те включват две грешки от типа use-after-free, грешка от време на проверка до време на употреба (TOCTOU), препълване на буфера на базата на купчина, грешка при превключване на контекста на привилегиите, неправилно валидиране на определено количество във входа и състояние на надпревара.
Някои от тях са проблеми, свързани с ескалация на права в операционната система. Други работят в комбинация с грешки във виртуализацията при бягства от гост към домакин.
Освен това подробностите все още се пазят в тайна. По правило Pwn2Own дава на доставчиците 90 дни след състезанието, за да работят по кръпките. Тазгодишното събитие се проведе на 20-22 март, което означава, че Microsoft все още има малко повече от месец, за да въведе ред в дома си.
Microsoft информира Dark Reading, че работи за отстраняване на уязвимостите, открити на Pwn2Own 2024, в рамките на 90-дневния срок за оповестяване.
„Лично аз започвам да се притеснявам, защото в момента Microsoft е сама“, казва Чайлдс. „VMware е закърпила. Oracle е направила кръпки. Mozilla се справи с проблема в рамките на няколко дни. Но очевидно те гледат на нещо различно от браузър – пакетиране на операционна система, която се използва от милиард души.
„Така че не натискам паник бутона, защото знам какво е необходимо, за да се пакетира операционна система. Но сега съм стигнал дотам, че особено защото Microsoft вдигна толкова много шум, че сигурността е на преден план, и като виждам, че миналия месец беше най-големият месец за кръпки на Microsoft, се притеснявам, че имат толкова много други задачи и те може да останат на заден план.“
