„Razer“ pelės programinės įrangos klaida suteikia „Windows“ administratoriaus privilegijas

Nors „Microsoft“ nenuilstamai stengiasi pašalinti šią stigmą, „Windows“ vis dar išlaiko operacinės sistemos įvaizdį

sistema, kuri dažnai yra per lengvakompromisas. Daugelis tokių išnaudojimų atsiranda nuotolinėje pusėje, kai žmonės spustelėja įtartinas nuorodas arba atsisiunčia programinę įrangą iš neoficialių šaltinių.

Tačiau ateina laikas, kai reikia nulaužti sistemątai tampa beveik per lengva, pavyzdžiui, kai prijungiate „Razer“ pelę, o tai savo ruožtu pradeda procesą, leidžiantį beveik visiems, turintiems fizinę prieigą prie kompiuterio, įgyti sistemos lygio administratoriaus teises.

„Windows“ vartotojai yra pripratę prie šios koncepcijos“Plug and Play”, kai nauji išoriniai įrenginiai “tiesiog veikia” kai prijungtas. Paprastai tai reiškia, kad reikia naudoti programą, kuri paleidžiama automatiškai, kad atsisiųstų ir įdiegtų įrenginių tvarkykles ir sukonfigūruotų kompiuterį, kad jis atpažintų išorinį įrenginį. Šią sistemą naudoja beveik visi žinomi „Windows“ priedai, o tai rodo, kad šis konkretus nulinės dienos pažeidžiamumas nėra išskirtinis „Razer“.

Tai, kas daro problemą rimtesnę, yra taikad Razer Synapse programinės įrangos diegimo programa šį procesą per daug palengvina. Sinapsė – yra programa, leidžianti vartotojams tinkinti „Razer“ aparatinę įrangą su pažangiomis funkcijomis, tokiomis kaip raktų ir mygtukų atvaizdavimas. „Synapse“ diegimo programa automatiškai paleidžiama, kai prijungiate „Razer“ pelę, ir čia įsivėlė klaida.

RazerInstaller programa.exe, žinoma, veikia su sistemos lygio teisėmis, kad būtų galima atlikti bet kokius „Windows“ kompiuterio pakeitimus. Tačiau tai taip pat leidžia naudotojui atidaryti „File Explorer“ egzempliorių su tais pačiais leidimais ir paleisti „PowerShell“, kuri leis su sistema daryti viską, ko nori, įskaitant kenkėjiškų programų diegimą. Nesulaukęs atsakymo iš Razer, saugumo tyrinėtojas @j0nh4t nusprendė viešai atskleisti pažeidžiamumą.

Geros naujienos yra tai, kad taiNorint išnaudoti, užpuolikas turi fiziškai pasiekti tikslinį „Windows“ kompiuterį ir „Razer“ pelę. Pastarasis, žinoma, parduodamas kiekviename žingsnyje, o jį nusipirkti nėra sunku. Nutraukęs tylą, „Razer“ pripažino klaidą ir pažadėjo kuo greičiau ištaisyti situaciją, nors vis tiek kyla klausimas, kiek montuotojų turi panašių saugumo spragų.

Šaltinis: @j0nh4t

</ p>