Google rivela l’exploit di “alta gravità” in Windows 10 prima che venga patchato

Google rivela una vulnerabilità di sicurezza senza patch nel browser Edge di Microsoft

Il team di ricercatori sulla sicurezza di Project Zero di Google ha rivelato una vulnerabilità di “elevata gravità” rilevata nel browser Edge di Microsoft dopo che la società non è riuscita a ripararlo entro il periodo di tempo di 90 giorni assegnato. La vulnerabilità può consentire a un utente malintenzionato di ottenere privilegi di amministratore se sfruttata.

Per chi non ha familiarità, Project Zero è un team di analisti della sicurezza impiegati da Google per trovare le vulnerabilità zero-day prima che vengano scoperte e sfruttate da persone malintenzionate. Individuando e rivelando la vulnerabilità alla società interessata, Google concede loro 90 giorni per risolvere il problema. Tuttavia, se l’azienda non rilascia una patch entro il periodo di tempo specificato, il team di Project Zero rivela la vulnerabilità al pubblico in modo che gli utenti possano proteggersi adottando le misure appropriate.

Questa vulnerabilità più recente è stata identificata da James Forshaw, un ricercatore di Google Project Zero, che l’ha rivelata a Microsoft il 10 novembre come parte di un problema di sicurezza separato con Windows 10. Apparentemente, ci sono due bug in questa vulnerabilità, denominati 1427 e 1428. Mentre Microsoft ha affrontato il bug 1427 con il rilascio del Patch Tuesday di febbraio all’inizio di questo mese, poiché lo trovava più critico. Tuttavia, ha scelto di lasciare intatto l’altro bug 1428, poiché afferma che non è una vulnerabilità critica.

Secondo il relazione tecnica su Project Zero, la vulnerabilità è stata testata in Windows 10 Fall Creators Update (versione 1709). In questo caso, la vulnerabilità in Windows 10 è nella chiamata di procedura remota (RPC) SvcMoveFileInheritSecurity. Forshaw ha anche allegato un codice proof of concept in C++ che crea un file arbitrario nella cartella Windows e sfrutta l’RPC SvcMoveFileInheritSecurity per sovrascrivere il descrittore di sicurezza e ottenere il controllo di un sistema.

leggere  KAT.CR va offline quando il presunto amministratore di KickassTorrents viene arrestato in Polonia

Attualmente, il problema è stato classificato come “elevata gravità” da Google per la sua facilità di sfruttamento. Tuttavia, poiché l’ultimo difetto di elevazione dei privilegi in Windows 10 non può essere sfruttato in remoto o nei browser in esecuzione in una sandbox, Microsoft lo ha classificato come “importante” anziché “critico”. Forshaw osserva che il difetto riguarda solo Windows 10 e non ha verificato se funziona su versioni precedenti, come Windows 7 o 8.1.

quando Neowin contattato Microsoft per chiarimenti sulla falla di sicurezza, hanno risposto dicendo: “Windows si impegna nei confronti del cliente a indagare sui problemi di sicurezza segnalati e ad aggiornare in modo proattivo i dispositivi interessati il ​​prima possibile”.

Proprio la scorsa settimana, Project Zero di Google aveva rivelato un Mitigazione degli exploit di Windows 10 [Arbitrary Code Guard (ACG)] derivazione al pubblico che Microsoft non è riuscita a risolvere in tempo. Microsoft aveva confermato il bypass ACG e ha detto che avrebbe risolto il problema nel rilascio del Patch Tuesday di febbraio. Tuttavia, è stato costretto a saltare il rilascio della patch di febbraio di martedì poiché il problema è risultato “più complesso” di quanto inizialmente pensato. Il gigante di Redmond ora punta a lanciare la correzione il Patch Tuesday di marzo.

Fonte: Neowin

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *