微軟舊漏洞沒修好長出新漏洞 更糟的是明年才有修補更新

Google 安全研究人員公佈Windows 10一個源自於5月發現的舊漏洞衍生出的新漏洞,壞消息是修補程式得等到1月。

Google 安全研究人員公佈Windows 10一個源自於5月發現的舊漏洞衍生出的新漏洞,壞消息是修補程式得等到1月。

5月間,卡巴斯基研究人員發現一項在Windows 核心中的漏洞,編號CVE-2020-0986,能使攻擊者在目標裝置上擴張權限,而在Windows電腦上安裝執行任意程式碼,並存取刪改資料。6月間微軟也發佈修補程式解決這項漏洞。

不過Windows Project Zero研究人員Maddie Stone發現,微軟似乎修補不完全,針對舊漏洞的攻擊程式只要稍稍修改就可以攻擊這編號CVE-2020-17008的新漏洞。

Maddie Stone解釋,舊漏洞出在任意指標(pointer)提取(deference),攻擊者可控制src和dest指標來提取memcpy函數中的資料。微軟的修補只是變更指標的偏移量(offset),使攻擊者仍然能控制memcpy函數。而修補不全的結果是知道舊漏洞的攻擊者只要稍加修改就能產生新的零時差攻擊程式。

舊漏洞CVE-2020-0986影響Windows 7、8、10及Windows Server。雖然CVSS風險評分僅7.5,但在Windows 10上嚴重(severity)可達到最高。安全公司卡巴斯基並發現IE11上另一項漏洞,讓駭客可以整合CVE-2020-0986可在Windows機器核心上擴張權限,執行任意程式碼。

Google的Maddie Stone也根據卡巴斯基提供的技術文件改寫成針對CVE-2020-17008的概念驗證攻擊程式。

Google研究人員於9月中通知微軟,微軟原本預定11月釋出新的修補程式,不料問題過於複雜,使修補程式得延後到1月。

來源:TechRadar

關於我們

自1990年創刊UXmaster雜誌,1991年獲得美國LAN Magazine獨家授權中文版,2006年獲得CMP Network Computing授權,2009年合併CMP Network Magazine獨家授權中文版,2014年轉型為《網路資訊》雜誌網站,為台灣中小企業協助技術領導者落實企業策略,了解網路規劃及應用,為企業網路應用、管理、MIS、IT人員必備之專業雜誌網站。


與我們聯絡

加入《網路資訊》雜誌社群

© Copyright 2017 本站版權所有,禁止任意轉載 網路資訊雜誌 / 心動傳媒股份有限公司 聯絡電話:+886 2 29432416

這是全站通知的範例,若要變更或刪除這段文字,請選擇「商店通知」中的「自訂工具」 忽略