एक नई भेद्यता हमलावरों को विंडोज 11 और 10 में व्यवस्थापक अधिकार प्राप्त करने की अनुमति देती है

सुरक्षा शोधकर्ता अब्देलहामिद नसेरी ने की खोज की एक नया शून्य-दिन भेद्यता जो किसी व्यक्ति को कुछ ही सेकंड में सिस्टम विशेषाधिकार प्राप्त करने की अनुमति देती है। भेद्यता विंडोज के सभी समर्थित संस्करणों को प्रभावित करने के लिए जानी जाती है, जिसमें विंडोज 10, विंडोज 11 और विंडोज सर्वर शामिल हैं।

प्रकाशित स्क्रिप्ट मानक विशेषाधिकार वाले उपयोगकर्ता खाते से सिस्टम विशेषाधिकारों के साथ कमांड प्रॉम्प्ट लॉन्च करती है।

Microsoft ने CVE-2021-41379 को के साथ तय किया है नवंबर 2021 हॉटफिक्स, एक Windows इंस्टालर विशेषाधिकार वृद्धि भेद्यता जिसे Naceri ने भी खोजा था।

नसेरी ने सीवीई-2021-41379 का विश्लेषण करते हुए एक नए शोषण संस्करण की खोज की, यह देखते हुए कि मूल मुद्दे को ठीक से ठीक नहीं किया गया था। उन्होंने माइक्रोसॉफ्ट द्वारा जारी फिक्स के लिए वर्कअराउंड प्रकाशित नहीं करने का फैसला किया, जिसमें कहा गया था कि उनके द्वारा पोस्ट किया गया नया संस्करण मूल से अधिक शक्तिशाली था।

अब्देलहामिद नसेरी ने माइक्रोसॉफ्ट बग बाउंटी प्रोग्राम से निराशा के कारण भेद्यता के बारे में सार्वजनिक जानकारी जारी की है। तथ्य यह है कि अप्रैल 2020 में, Microsoft ने अपने उत्पादों में खोजी गई कमजोरियों के लिए पुरस्कारों की राशि को कम कर दिया। उदाहरण के लिए, कंपनी शून्य-दिन की भेद्यता के लिए लगभग $ 10,000 का भुगतान करती थी, जबकि अब पारिश्रमिक केवल $ 1,000 है।

Microsoft के नए बग बाउंटी प्रोग्राम के तहत मेरा एक ज़ीरोडे $10,000 से $1,000 हो गया है।

- मालवेयरटेक (@MalwareTechBlog) 27 जुलाई, 2020

शोषण का परीक्षण करने के लिए, ब्लीपिंग कंप्यूटर विंडोज 10 संस्करण 21H1 (बिल्ड 19043.1348) पर स्क्रिप्ट लॉन्च की, और पुष्टि की कि यह अपना काम सफलतापूर्वक करता है।

नसेरी ने यह भी बताया कि विंडोज़ में 'मानक' उपयोगकर्ताओं को एमएसआई इंस्टॉलर संचालन करने से रोकने के लिए समूह नीतियां शामिल हैं, लेकिन उनका शोषण इस नीति को छोड़ देता है और पूरी तरह कार्यात्मक रहता है।

Microsoft इस भेद्यता के लिए सार्वजनिक प्रकटीकरण से अवगत है। उम्मीद है कि कंपनी जल्द से जल्द इसके लिए एक फिक्स जारी करेगी।