Баг в Windows 10 предоставлял приложениям UWP доступ ко всем файлам

Олег Иванов 29 Октября 2018 - 19:07

Домашние пользователи

...

Microsoft устранила серьезный недостаток в октябрьском наборе обновлений Windows 10. Баг присутствовал в API «broadFileSystemAccess», он мог предоставить злонамеренному разработчику приложений Universal Windows Platform (UWP) доступ ко всем пользовательским документам, фото, загрузкам и хранящимся в OneDrive файлам.

Проблема была обнаружена .NET-разработчиком Себастьеном Лаченсом. При нормальных обстоятельствах приложения UWP ограничены в доступе к определенным каталогам, однако разработчики имеют право запрашивать необходимые разрешения.

Согласно документации Microsoft, API broadFileSystemAccess предоставляет доступ ко всем файлам, к которым есть доступ у пользователя. Корпорация утверждает, что эта функция помогает разработчикам сделать свои приложения более удобными для пользователя.

«Это ограниченная возможность. При первом использовании функция запросит у пользователя требуемые права. Уровнем доступа можно управлять через опцию в настройках: Settings > Privacy > File system», — объясняет Microsoft.

Проблема безопасности заключалась в том, что до версии 1809 пользователям не выводилось никакого диалогового окна, уведомляющего о предоставлении дополнительного доступа. Таким образом, API можно было использовать для получения доступа ко всей файловой системе.

После выхода версии 1809 разработчики приложений могут столкнуться с неработоспособностью своих приложений в обновленных системах пользователей.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Олег Иванов 22 Мая 2019 - 17:19

Сетевые черви Трояны Вирусы-вымогатели Вирусы-шифровальщики Домашние пользователи Корпорации

Цена зараженного WannaCry и MyDoom ноутбука на аукционе превысила $1 млн

Ноутбук, зараженный шестью знаменитыми вредоносными программами, разыгрывается на публичном аукционе. Исторически эти шесть вредоносов стоили финансовых убытков в размере $95 миллиардов. А стоимость лэптопа уже превысила $1 миллион.

В рамках проекта «The Persistence of Chaos» компания Deep Instinct заразила устройство Samsung NC10-14GB 10.2-Inch Blue Netbook (2008), работающее на Windows XP SP3, шестью вредоносными программами.

Среди этих программ были такие «гиганты» киберпреступности, как WannaCry, заразивший сотни тысяч компьютеров в 2017 году, а также BlackEnergy, который стал причиной перебоев с электроэнергией на Украине в 2015 году.

Помимо этого, ноутбук был также заражен вредоносом ILOVEYOU, червем MyDoom, трояном SoBig и зловредом DarkTequila.

Deep Instinct решила изолировать зараженный компьютер, отключив его от Сети, чтобы предотвратить дальнейшее распространение вредоносных программ, которые могут потенциально навредить другим пользователям.

На момент написания материала точная цена устройства составила $1 130 500.

За прямой трансляцией этого действа можно наблюдать на странице проекта «The Persistence of Chaos».