Търсене
Close this search box.

7 бъга излезли на Pwn2Own все още чакат поправка

Редица сериозни грешки в Windows все още не са навлезли в криминалните среди, но това няма да е така завинаги – а времето, преди ZDI да публикува подробности за експлойтите, изтича.

Седем различни уязвимости в Windows, свързани с повишаване на привилегиите, все още не са отстранени от Microsoft, два месеца след като бяха разкрити на Pwn2Own 2024 във Ванкувър.

Вторникът на кръпките миналата седмица донесе със себе си пет дузини поправки на сигурността, включително поправки за активно експлоатираните бъгове CVE-2024-30051 и CVE-2024-30040. Но за разлика от Apple, Google и други, Microsoft все още не е поправила множество бъгове, открити от бели шапки през март.

До момента компанията е поправила само една. Същият проблем засегна и Google Chrome, така че когато Google написа поправка, Microsoft я пренесе в своя браузър Edge.

Няма индикации, че някоя от нерешените уязвимости в Windows в момента се използва от злонамерени хакери. Въпреки това, тъй като всяка от тях е била напълно експлоатирана от изследователи, инициативата Zero Day Initiative (ZDI) на Trend Micro, която ръководи Pwn2Own, ги счита, че са  „в дивата природа“.

„Тези видове бъгове се използват много често от участниците в заплахите“, казва Дъстин Чайлдс, ръководител на отдела за осведоменост за заплахите в ZDI. „Обикновено те се комбинират с бъг за отдалечено изпълнение на код, за да завладеят системата, и представляват реална заплаха за потребителите навсякъде.“

Грешки в Windows Pwn2Own

Въпросните седем бъга за повишаване на привилегиите засягат различни компоненти на Windows. Те включват две грешки от типа use-after-free, грешка от време на проверка до време на употреба (TOCTOU), препълване на буфера на базата на купчина, грешка при превключване на контекста на привилегиите, неправилно валидиране на определено количество във входа и състояние на надпревара.

Някои от тях са проблеми, свързани с ескалация на права в операционната система. Други работят в комбинация с грешки във виртуализацията при бягства от гост към домакин.

Освен това подробностите все още се пазят в тайна. По правило Pwn2Own дава на доставчиците 90 дни след състезанието, за да работят по кръпките. Тазгодишното събитие се проведе на 20-22 март, което означава, че Microsoft все още има малко повече от месец, за да въведе ред в дома си.

Microsoft информира Dark Reading, че работи за отстраняване на уязвимостите, открити на Pwn2Own 2024, в рамките на 90-дневния срок за оповестяване.

„Лично аз започвам да се притеснявам, защото в момента Microsoft е сама“, казва Чайлдс. „VMware е закърпила. Oracle е направила кръпки. Mozilla се справи с проблема в рамките на няколко дни. Но очевидно те гледат на нещо различно от браузър – пакетиране на операционна система, която се използва от милиард души.

„Така че не натискам паник бутона, защото знам какво е необходимо, за да се пакетира операционна система. Но сега съм стигнал дотам, че особено защото Microsoft вдигна толкова много шум, че сигурността е на преден план, и като виждам, че миналия месец беше най-големият месец за кръпки на Microsoft, се притеснявам, че имат толкова много други задачи и те може да останат на заден план.“

 

Източник: DARKReading

Подобни публикации

Време е да се справим с проблема със сигурностт...

Софтуерните компании от десетилетия се основават на отворен код. Се...
15 юни 2024

Чък Робинс: "Нашата работа е да не се проваляме"

Бившият главен изпълнителен директор на Splunk Гари Стил се ангажир...

Наследените технологии пречат на дигиталната тр...

Според ново проучване остарелите наследени технологии пречат на орг...
15 юни 2024

Европол започва лов на отделни киберпрестъпници

След впечатляващото разбиване на ботнет само преди няколко дни межд...
14 юни 2024

Засилени киберзаплахи пред Евро 2024

Евро 2024  в Германия започва след няколко часа и ще завърши след м...

Ню Йорк Таймс предупреждава фрийлансърите си за...

Ню Йорк Таймс уведоми неразкрит брой сътрудници, че част от чувстви...
14 юни 2024

YouTube преминава към инжектиране на реклами от...

Съобщава се, че YouTube вече вкарва реклами директно във видеопотоц...
Бъдете социални
Още по темата
11/06/2024

Google премахва кампании за...

Google разкри, че е премахнала 1320...
09/06/2024

Редмънд се поддаде на натис...

Microsoft се поддаде на обществения натиск...
07/06/2024

Microsoft предупреждава за ...

Microsoft наблегна на необходимостта от защита...
Последно добавени
15/06/2024

Време е да се справим с про...

Софтуерните компании от десетилетия се основават...
15/06/2024

Чък Робинс: "Нашата работа ...

Бившият главен изпълнителен директор на Splunk...
15/06/2024

Наследените технологии преч...

Според ново проучване остарелите наследени технологии...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!