Уязвимость нулевого дня в Windows 11 делает любого администратором

• Исследователь безопасности публично раскрывает уязвимость в Windows 11.
• Причина раскрытия информации заключалась в недовольстве низкими выплатами в программе вознаграждения за обнаружение ошибок.
• Уязвимость была устранена Microsoft, но исследователь находит обходной путь к более серьезной безопасности.

Исследователь безопасности Абдельхамид Насери публично раскрыл уязвимость, которая дает системные привилегии злоумышленнику в Windows 11 , 10 и Windows Server для запуска команд с повышенными правами со стандартного уровня привилегий.

Хотя Microsoft исправила эту проблему с помощью ноябрьского обновления 2021 года ( CVE-2021-41379 ), исследователь безопасности раскрыл уязвимость после того, как нашел способ обойти исправление еще более серьезного неисправленного эксплойта из-за разочарования в программе Microsoft Bug Bounty . Программа позволяет исследователям в области безопасности и практически любому человеку зарабатывать деньги, находя и сообщая об ошибках в операционной системе.

По словам Насери, софтверный гигант платил около 10 000 долларов за эксплойт нулевого дня. Однако с апреля 2020 года выплаты снижались до такой степени, что сегодня, сообщив об эксплойте, вы получите только 1000 долларов. «В соответствии с новой программой вознаграждения за обнаружение ошибок Microsoft стоимость одного из моих нулевых дней снизилась с 10 000 до 1 000 долларов», — говорится в твиттере @MalwareTech .

«Этот вариант был обнаружен при анализе патча CVE-2021-41379. Ошибка не была исправлена ​​должным образом. Однако вместо того, чтобы отказаться от обхода. Я решил отказаться от этого варианта, поскольку он более мощный, чем исходный». Насери также отмечает в своей статье на странице GitHub, что этот человек демонстрирует рабочий эксплойт для проверки концепции нового нулевого дня.

BleepingComputer , сайт, впервые сообщивший об этом случае, успешно протестировал эксплойт на компьютере с Windows 11 с самыми последними исправлениями, доступными через Центр обновления Windows. '

Хотя неясно, почему Microsoft платит меньше за награды, возможно, ей придется это сделать, потому что в последние годы мы наблюдаем все больше и больше ошибок во время обновлений функций и накопительных обновлений. В результате компания видит увеличение отчетов, которые не покрывает установленный бюджет. Или это может быть тот случай, когда софтверный гигант хочет, чтобы меньше людей пытались взломать Windows.