La vulnerabilidad de día cero de Windows 11 convierte a cualquiera en administrador

• Investigador de seguridad divulga públicamente vulnerabilidad en Windows 11.
• El motivo de la divulgación se debió a la frustración con el bajo pago en el programa de recompensas por errores.
• Microsoft ha solucionado la vulnerabilidad, pero el investigador encuentra una solución alternativa a un conjunto de seguridad más grave.

Un investigador de seguridad, Abdelhamid Naceri, reveló públicamente una vulnerabilidad que otorga privilegios del sistema a un atacante en Windows 11 , 10 y Windows Server para ejecutar comandos elevados desde el nivel de privilegio estándar.

Aunque Microsoft solucionó este problema con la actualización de noviembre de 2021 ( CVE-2021-41379 ), el investigador de seguridad reveló la vulnerabilidad después de encontrar una forma de evitar la solución a un exploit sin parches aún más grave debido a la frustración con el programa Microsoft Bug Bounty . El programa permite que los investigadores de seguridad y prácticamente cualquier persona ganen dinero encontrando y reportando errores en el sistema operativo.

Según Naceri, el gigante del software solía pagar alrededor de $10 000 por un exploit de día cero. Sin embargo, desde abril de 2020, el pago se ha reducido hasta el punto de que al informar sobre un exploit hoy, ahora solo obtendrá $ 1000. “Bajo el nuevo programa de recompensas por errores de Microsoft, uno de mis días cero ha pasado de valer $ 10,000 a $ 1,000”, se lee en los tweets de @MalwareTech .

“Esta variante se descubrió durante el análisis del parche CVE-2021-41379. El error no se solucionó correctamente. Sin embargo, en lugar de dejar caer el bypass. Elegí eliminar esta variante ya que es más poderosa que la original”. Naceri también señala en su artículo en la página de GitHub que esta persona muestra un exploit de prueba de concepto funcional para el nuevo día cero.

BleepingComputer , el sitio que primero informó este caso, probó el exploit con éxito en una máquina con Windows 11 con los parches más actualizados disponibles a través de Windows Update. '

Si bien no está claro por qué Microsoft está pagando menos por las recompensas, es posible que tenga que hacerlo porque hemos visto más y más errores en los últimos años durante las actualizaciones de funciones y las actualizaciones acumulativas. Como resultado, la empresa ve un aumento en los informes que el presupuesto establecido no cubrirá. O podría ser el caso en el que el gigante del software quiera que menos personas intenten ingresar a Windows.