Уязвимость нулевого дня в Windows может быть использована для повышения привилегий

3 ноябрь, 2020 - 11:35

Уязвимость нулевого дня в Windows может быть использована для повышения привилегий

Исследователи из команды Google Project Zero, которые работают в сфере информационной безопасности, опубликовали данные об опасной уязвимости нулевого дня в Windows. Брешь может использоваться для выхода за пределы песочницы или повышения привилегий внутри системы. Примечательно, что Microsoft планирует устранить проблему только в следующем месяце, когда будет выпущено плановое обновление безопасности.

Речь идет об уязвимости CVE-2020-17087, которая связана с работой одной из функций Windows Kernel Cryptography Driver (cng.sys) и относится к категории ошибок переполнения буфера. Исследователи также отмечают, что данная брешь активно используется злоумышленниками на практике. Подробности касательно уязвимости пока не раскрываются, но исследователи говорят о том, что выявленные случаи ее эксплуатации никак не связаны с предстоящими выборами президента США.

Согласно имеющимся данным, уязвимость нулевого дня в Windows эксплуатировалась вместе с уязвимостью CVE-2020-15999 в браузере Google Chrome, которую несколько дней назад обнаружили специалисты Project Zero. Уязвимость Chrome применяется хакерами для выполнения вредоносного кода внутри браузера, тогда как уязвимость Windows делает возможным выход за пределы песочницы Chrome с последующим выполнением кода на уровне системы.

Проблема затрагивает разные версии программной платформы, начиная с Windows 7 и заканчивая недавними стабильными сборками Windows 10. Исправление для CVE-2020-17087 должно быть выпущено Microsoft 10 ноября вместе с плановым обновлением безопасности, выходящим в рамках программы Patch Tuesday. Что касается уязвимости Chrome, то она уже была устранена в последней версии обозревателя.