Уязвимость в ядре Windows используется в атаках для получения прав SYSTEM

Уязвимость в ядре Windows используется в атаках для получения прав SYSTEM

Уязвимость в ядре Windows используется в атаках для получения прав SYSTEM

Опасная уязвимость, затрагивающая ядро Windows, уже фигурирует в реальных кибератаках. CISA уже предупредила госорганы США о необходимости принять меры против эксплуатации бреши.

Проблема отслеживается под идентификатором CVE-2024-35250 и связана с определением адреса элемента данных из-за ненадёжного указателя.

С помощью этого бага локальный злоумышленник может получить привилегии уровня SYSTEM без какого-либо взаимодействия с целевым пользователем. Как отметили исследователи из DEVCORE Research, брешь затрагивает системную службу Microsoft Kernel Streaming и соответствующий драйвер — MSKSSRV.SYS.

Интересно, что на мероприятии Pwn2Own, прошедшем в этом году в Ванкувере, специалистам удалось скомпрометировать полностью пропатченную Windows 11 именно через эту уязвимость.

Microsoft закрыла дыру в июне, однако злоумышленники взяли на вооружение демонстрационный эксплойт (proof-of-concept), выложенный на GitHub. Кроме того, команда DEVCORE опубликовала видео, на котором также показана эксплуатация CVE-2024-35250.

 

Напомним, эта уязвимость была признана одной из самых опасных в октябре.

Госдума приняла законопроект о запрете передачи ПДн в небезопасные страны

Госдума на пленарном заседании 10 декабря приняла в первом чтении поправки к закону «О персональных данных», ужесточающие правила трансграничной передачи персональных данных в страны с недостаточным уровнем их защиты.

Речь идет о законопроекте № 951518-8, внесённом в Госдуму 25 июня 2025 года группой депутатов и сенаторов.

В пояснительной записке отмечается, что действующие критерии для включения государств в перечень стран, обеспечивающих адекватную защиту прав субъектов персональных данных, требуют актуализации.

По мнению авторов инициативы, простого присоединения к Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных 1981 года больше недостаточно.

Законопроект предоставляет регулятору право вводить ограничения на передачу персональных данных в государства, где уровень защиты признан недостаточным. Для оценки этого уровня предлагается использовать более строгие критерии.

Порядок трансграничной передачи персональных данных в последний раз обновлялся в 2023 году. Тогда, в частности, было введено обязательство уведомлять Роскомнадзор о такой передаче, а сам регулятор получил право её запрещать.

RSS: Новости на портале Anti-Malware.ru