La vulnerabilità zero-day di Windows 11 rende amministratori chiunque

• Il ricercatore di sicurezza rivela pubblicamente la vulnerabilità su Windows 11.
• Il motivo della divulgazione era dovuto alla frustrazione per il basso payout nel programma di ricompense dei bug.
• La vulnerabilità è stata risolta da Microsoft, ma il ricercatore trova una soluzione alternativa a un insieme di sicurezza più grave.

Un ricercatore di sicurezza, Abdelhamid Naceri, ha rivelato pubblicamente una vulnerabilità che concede privilegi di sistema a un utente malintenzionato su Windows 11 , 10 e Windows Server per eseguire comandi elevati dal livello di privilegio standard.

Sebbene Microsoft abbia risolto questo problema con l'aggiornamento di novembre 2021 ( CVE-2021-41379 ), il ricercatore della sicurezza ha rivelato la vulnerabilità dopo aver trovato un modo per aggirare la correzione di un exploit ancora più grave senza patch per la frustrazione con il programma Microsoft Bug Bounty . Il programma consente ai ricercatori della sicurezza e praticamente a chiunque altro di guadagnare trovando e segnalando bug nel sistema operativo.

Secondo Naceri, il gigante del software pagava circa $ 10000 per un exploit zero-day. Tuttavia, da aprile 2020, il pagamento è sceso al punto che segnalare un exploit oggi ti farà guadagnare solo $ 1000. "Con il nuovo programma di ricompense dei bug di Microsoft, uno dei miei zerodays è passato da $ 10.000 a $ 1.000" , si legge nei tweet di @MalwareTech .

“Questa variante è stata scoperta durante l'analisi della patch CVE-2021-41379. Il bug non è stato corretto correttamente. Tuttavia, invece di abbandonare il bypass. Ho scelto di abbandonare effettivamente questa variante perché è più potente di quella originale. Naceri nota anche nel suo articolo sulla pagina GitHub in cui questa persona sta sfoggiando un exploit proof-of-concept funzionante per il nuovo zero-day.

BleepingComputer , il sito che per primo ha segnalato questo caso, ha testato con successo l'exploit su un computer Windows 11 con le patch più aggiornate disponibili tramite Windows Update. '

Anche se non è chiaro il motivo per cui Microsoft sta pagando meno per le taglie, potrebbe doverlo fare perché negli ultimi anni abbiamo visto sempre più bug durante gli aggiornamenti delle funzionalità e gli aggiornamenti cumulativi. Di conseguenza, l'azienda vede un aumento dei rapporti che il budget stabilito non coprirà. Oppure potrebbe essere il caso in cui il gigante del software vuole che meno persone cerchino di entrare in Windows.