Kerentanan sifar hari Windows 11 menjadikan sesiapa sahaja pentadbir

• Penyelidik keselamatan mendedahkan kelemahan pada Windows 11 secara terbuka.
• Sebab pendedahan itu adalah kerana kekecewaan dengan pembayaran yang rendah dalam program hadiah pepijat.
• Kerentanan telah diperbaiki oleh Microsoft, tetapi penyelidik menemui penyelesaian kepada keseluruhan keselamatan yang lebih teruk.

Seorang penyelidik keselamatan, Abdelhamid Naceri, telah mendedahkan secara terbuka kelemahan yang memberikan keistimewaan sistem kepada penyerang pada Windows 11 , 10 dan Windows Server untuk menjalankan perintah yang lebih tinggi daripada tahap keistimewaan standard.

Walaupun Microsoft telah membetulkan masalah ini dengan kemas kini November 2021 ( CVE-2021-41379 ), penyelidik keselamatan mendedahkan kerentanan itu selepas mencari jalan untuk membetulkan eksploitasi tanpa tampalan yang lebih teruk kerana kecewa dengan program Microsoft Bug Bounty . Program ini membolehkan penyelidik keselamatan dan hampir semua orang menjana wang dengan mencari dan melaporkan pepijat dalam sistem pengendalian.

Menurut Naceri, gergasi perisian itu pernah membayar sekitar $10000 untuk eksploitasi sifar hari. Walau bagaimanapun, sejak April 2020, pembayaran telah menurun sehingga melaporkan eksploitasi hari ini, kini hanya akan memberi anda $1000. “Di bawah program hadiah pepijat baharu Microsoft, salah satu zerodays saya telah berubah daripada bernilai $10,000 kepada $1,000” tweet daripada @MalwareTech berbunyi .

“Varian ini ditemui semasa analisis tampung CVE-2021-41379. Pepijat tidak dibetulkan dengan betul. Walau bagaimanapun, bukannya menjatuhkan pintasan. Saya telah memilih untuk menggugurkan varian ini kerana ia lebih berkuasa daripada yang asal.” Naceri juga mencatatkan dalam penulisannya di halaman GitHub di mana orang ini mempamerkan eksploitasi bukti konsep yang berfungsi untuk hari sifar baharu.

BleepingComputer , tapak yang pertama kali melaporkan kes ini, menguji eksploitasi dengan jayanya pada mesin Windows 11 dengan tampung paling terkini yang tersedia melalui Windows Update. '

Walaupun tidak jelas mengapa Microsoft membayar lebih sedikit untuk hadiah, ia mungkin perlu berbuat demikian kerana kami telah melihat lebih banyak pepijat sejak beberapa tahun kebelakangan ini semasa kemas kini ciri dan kemas kini kumulatif. Akibatnya, syarikat melihat peningkatan dalam laporan yang tidak akan dilindungi oleh belanjawan yang ditetapkan. Atau mungkin kes di mana gergasi perisian mahu lebih sedikit orang cuba menceroboh Windows.