Редица сериозни грешки в Windows все още не са навлезли в криминалните среди, но това няма да е така завинаги – а времето, преди ZDI да публикува подробности за експлойтите, изтича.
Седем различни уязвимости в Windows, свързани с повишаване на привилегиите, все още не са отстранени от Microsoft, два месеца след като бяха разкрити на Pwn2Own 2024 във Ванкувър.
Вторникът на кръпките миналата седмица донесе със себе си пет дузини поправки на сигурността, включително поправки за активно експлоатираните бъгове CVE-2024-30051 и CVE-2024-30040. Но за разлика от Apple, Google и други, Microsoft все още не е поправила множество бъгове, открити от бели шапки през март.
До момента компанията е поправила само една. Същият проблем засегна и Google Chrome, така че когато Google написа поправка, Microsoft я пренесе в своя браузър Edge.
Няма индикации, че някоя от нерешените уязвимости в Windows в момента се използва от злонамерени хакери. Въпреки това, тъй като всяка от тях е била напълно експлоатирана от изследователи, инициативата Zero Day Initiative (ZDI) на Trend Micro, която ръководи Pwn2Own, ги счита, че са „в дивата природа“.
„Тези видове бъгове се използват много често от участниците в заплахите“, казва Дъстин Чайлдс, ръководител на отдела за осведоменост за заплахите в ZDI. „Обикновено те се комбинират с бъг за отдалечено изпълнение на код, за да завладеят системата, и представляват реална заплаха за потребителите навсякъде.“
Въпросните седем бъга за повишаване на привилегиите засягат различни компоненти на Windows. Те включват две грешки от типа use-after-free, грешка от време на проверка до време на употреба (TOCTOU), препълване на буфера на базата на купчина, грешка при превключване на контекста на привилегиите, неправилно валидиране на определено количество във входа и състояние на надпревара.
Някои от тях са проблеми, свързани с ескалация на права в операционната система. Други работят в комбинация с грешки във виртуализацията при бягства от гост към домакин.
Освен това подробностите все още се пазят в тайна. По правило Pwn2Own дава на доставчиците 90 дни след състезанието, за да работят по кръпките. Тазгодишното събитие се проведе на 20-22 март, което означава, че Microsoft все още има малко повече от месец, за да въведе ред в дома си.
Microsoft информира Dark Reading, че работи за отстраняване на уязвимостите, открити на Pwn2Own 2024, в рамките на 90-дневния срок за оповестяване.
„Лично аз започвам да се притеснявам, защото в момента Microsoft е сама“, казва Чайлдс. „VMware е закърпила. Oracle е направила кръпки. Mozilla се справи с проблема в рамките на няколко дни. Но очевидно те гледат на нещо различно от браузър – пакетиране на операционна система, която се използва от милиард души.
„Така че не натискам паник бутона, защото знам какво е необходимо, за да се пакетира операционна система. Но сега съм стигнал дотам, че особено защото Microsoft вдигна толкова много шум, че сигурността е на преден план, и като виждам, че миналия месец беше най-големият месец за кръпки на Microsoft, се притеснявам, че имат толкова много други задачи и те може да останат на заден план.“
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
