| |
|
|
|
|
|
|
| | | |
| | | |
谷歌揭示W(wǎng)indows 10中未修補(bǔ)的Windows 0day漏洞的詳細(xì)信息
Google 安全團(tuán)隊(duì) Project Zero 披露了一個(gè)正被利用的 Windows 0day 漏洞。
因?yàn)樵撀┒凑焕茫珿oogle 安全研究人員給了微軟 7 天時(shí)間去修復(fù)，而微軟可能需要等到 11 月例行安全更新時(shí)才可能修復(fù)漏洞。
編號(hào)為 CVE-2020-117087 的漏洞位于 Windows Kernel Cryptography Driver (cng.sys)，是一個(gè)整數(shù)溢出漏洞，可用于提權(quán)，攻擊者正組合該漏洞和另一個(gè)已修復(fù)的 Chrome FreeType 字體渲染庫漏洞入侵存在漏洞的系統(tǒng)。微軟發(fā)言人表示沒有證據(jù)顯示該漏洞正被廣泛利用，該漏洞并不能影響加密功能。
用于Windows 10內(nèi)核中的緩沖區(qū)溢出漏洞，可利用該漏洞進(jìn)行本地特權(quán)提升，以在操作系統(tǒng)上運(yùn)行惡意軟件。與最近修補(bǔ)的Chrome漏洞結(jié)合使用時(shí)，這將使網(wǎng)絡(luò)惡意軟件逃脫Chrome沙箱并完全控制PC。
谷歌表示，該漏洞（CVE-2020-17087）正在被廣泛利用，僅給微軟7天的時(shí)間來修補(bǔ)它，這一截止日期毫無意外地過去了，沒有補(bǔ)丁。
據(jù)零號(hào)項(xiàng)目的技術(shù)主管本·霍克斯說，微軟計(jì)劃在11月10日發(fā)布補(bǔ)丁。
盡管該漏洞被廣泛利用，但谷歌和微軟均表示，攻擊是“針對(duì)性的”，盡管與美國大選無關(guān)。
微軟發(fā)言人表示，所報(bào)道的攻擊“本質(zhì)上非常有限且針對(duì)性強(qiáng)，我們還沒有證據(jù)表明存在廣泛的使用情況。”
當(dāng)然，現(xiàn)在已經(jīng)發(fā)布了概念證明代碼，現(xiàn)在可能不再如此了。
該漏洞被認(rèn)為會(huì)影響從Windows 7一直追溯到Windows 7的所有版本，也影響到Windows 10的所有完全修補(bǔ)版本。
微軟在一份聲明中說：
“微軟有客戶承諾調(diào)查所報(bào)告的安全問題并更新受影響的設(shè)備以保護(hù)客戶。在我們努力滿足所有研究人員的披露截止日期（包括這種情況下的短期截止日期）的同時(shí)，開發(fā)安全更新是在及時(shí)性和質(zhì)量之間取得平衡，我們的最終目標(biāo)是幫助確保最大程度地保護(hù)客戶，并最大程度地減少客戶干擾。 ”
uc電腦園提供的技術(shù)方案或與您產(chǎn)品的實(shí)際情況有所差異，您需在完整閱讀方案并知曉其提示風(fēng)險(xiǎn)的情況下謹(jǐn)慎操作，避免造成任何損失。
圖片來源：網(wǎng)絡(luò)
瀏覽次數(shù) 73
瀏覽次數(shù) 78
瀏覽次數(shù) 87
瀏覽次數(shù) 65
瀏覽次數(shù) 61
瀏覽次數(shù) 28929
瀏覽次數(shù) 10669
瀏覽次數(shù) 9189
瀏覽次數(shù) 8172
瀏覽次數(shù) 5265
未知的網(wǎng)友