Google Project Zero указал Microsoft на неполные августовские патчи

Google Project Zero указал Microsoft на неполные августовские патчи

Google Project Zero указал Microsoft на неполные августовские патчи

Исследователи Google Project Zero указали Microsoft на некачественный набор обновлений, вышедший вчера, 11 августа. В связи с этим проект отказался продлить стандартный 90-дневный срок до раскрытия подробностей непропатченной в этом месяце уязвимости.

Один из 120 багов, которые Microsoft устранила вчера, известен под идентификатором CVE-2020-1509. Именно об этой уязвимости корпорация из Редмонда узнала благодаря экспертам Google Project Zero. 5 мая Джеймс Форшоу, специализирующийся на безопасности Windows, передал все подробности Microsoft.

CVE-2020-1509 позволяет удалённому атакующему повысить свои права в системе с помощью отправки специально созданного запроса аутентификации службе LSASS. Условие для эксплуатации — злоумышленник должен сначала скомпрометировать учётные данные пользователя Windows.

Несмотря на то, что уязвимость получила среднюю степень опасности, стоит учитывать, что LSASS является ключевым процессом для аутентификации пользователей.

Согласно описанию бреши, она затрагивает все версии операционной системы Windows, включая последний релиз — Windows 10 2004.

Поскольку исследователи Google Project Zero были уверены, что Microsoft полностью устранила баг, они опубликовали его детали и даже код эксплойта.

По словам Форшоу, августовский патч Microsoft неполный. Например, LSASS не совсем корректно задействует возможности «корпоративной аутентификации». В результате любое UWP-приложение может аутентифицироваться с учётными данными пользователя.

Будем надеяться, что разработчики Microsoft смогут оперативно принять меры и дополнительно пропатчить существующую проблему безопасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Москве будут судить аферистов, нагревших онлайн-доставку на миллион руб.

Усилиями столичного угрозыска полиции удалось выявить и пресечь систематическую кражу товаров через популярный веб-сервис доставки. Задержаны трое предполагаемых участников мошеннической схемы.

Расследование показало, что для оформления доставки аферисты год назад создали поддельные аккаунты из-под разных номеров телефона. Забрав дорогую электронику либо продукты питания, они отменяли заказ, а возвращенные деньги использовали на свои нужды.

Двое подозреваемых выступали в роли таких клиентов, третий устроился в службу доставки курьером по поддельным данным, чтобы забирать товар, который впоследствии сообщники с успехом сбывали.

На настоящий момент сотрудникам уголовного розыска удалось выявить 100 эпизодов подобного мошенничества. Суммарный ущерб по ним составил более 1 млн рублей.

Уголовное дело открыто в Северном Тушино (СЗАО Москвы) в рамках ч. 2 ст. 159 УК РФ (коллективное мошенничество по сговору, до пяти лет лишения свободы). Задержания произведены в Подмосковье и Питере; фигуранты заключены под стражу либо находятся под домашним арестом с ограничением рода занятий.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru