IT天空

 找回密码
 加入我们

手机号码,快捷登录

搜索

[最新消息] 微软Windows 11高危漏洞被公开 只因悬赏奖金打骨折

[复制链接]
Lacy 发表于 2021-11-30 10:46:52 | 显示全部楼层 |阅读模式



  GitHub 上突然有人上传了一个 Windows 11 最新漏洞的利用办法,几天之内暴涨 1300 多星。话说,发现漏洞不是可以报告给微软领取高额赏金来着,他怎么不要了?按这位黑客自己的说法"现在微软的赏金已成了垃圾"。

   1 (1).png

  ▲ 学名"概念性验证攻击程序"

  微软漏洞发现赏金现已大幅缩水,曾有白帽黑客抱怨本来该获得 1 万美元的漏洞,最后只拿到 1 千美元,直接缩水 90%。

1 (2).png


  这次的这位黑客 Naceri 也很失望,索性剩下那点钱也不要了,直接公开算了。

  通过这个漏洞,恶意程序能在几秒内获得管理员权限,能在你电脑上为所欲为的那种。

  漏洞出在 Windows Installer Service 上,就是用。MSI 文件安装和卸载软件时用到的服务。

  Naceri 在 GitHub 页面上说漏洞会影响到最新的 Windows 11 和服务器版 Windows Server 2022。

  不过安全技术网站 Bleeping Computer 测试发现,现在最普及的 Windows 10 也逃不过。

  现在,思科安全情报团队 Talos 已侦测到了利用这个漏洞的恶意程序。

1 (3).png


  还有人 7 个月没收到钱

  微软漏洞悬赏缩水这件事非常打击白帽黑客们的积极性。

  另一位发现了 Hyper-V 虚拟机漏洞的老选手就在Twitter上直呼新规定"不公平!"

  按照微软悬赏计划公开的说法,此类漏洞赏金上限可达 25 万美元,结果他只拿到了 5000 美元。

1 (4).png


  白帽黑客因微软抠门愤而公开漏洞这事也不是第一次发生。

  去年 9 月,一位长期从事漏洞挖掘的研究者 Lykkegaard 发现了能在 System32 目录添加任意文件的方法,而且一旦写入就无法再删除或修改。

  相当严重的一个 Bug,他选择直接给公开了,因为当时微软还拖欠他之前的赏金长达 7 个月。

  Lykkegaard 找到这个漏洞用了 30 个小时,按照缩水后的规则只能拿到 2 千美元。

  他一算这时薪才 66 美元,关键还不一定能拿得到,实在不值得。

  公开漏洞是一把双刃剑,虽然可能被人恶意利用,但也能让更多第三方技术高手参与修复。

  不过这一次的漏洞却不是那么好修复的。

  其实这次与 Windows Installer 相关的漏洞,微软已经发布过一次补丁。

  结果这个补丁非但没能完全解决问题,还引发了更复杂的漏洞。

  白帽黑客 Naceri 这次公开的实际就是绕过上一个安全补丁的办法,而且他警告再次尝试修复可能带来额外的问题。

  不建议第三方尝试修补二进制文件,可能会破坏 Windows Installer.

  所幸的是,第三方社区 0patch 还是在几天之后成功制作并发布了补丁,

  如果你担心遇到攻击,可以到通过 0patch 服务安装补丁,地址在文章结尾。

  至于微软自己,有什么说法?

  我们知悉有关资料披露,并会采取一切必要措施,确保客户的安全和保障。使用上述方法的攻击者必须已经具备在目标受害者的机器上运行代码的权限和能力。

1 (5).png


  翻译一下大概是:

1 (6).png














最近访问 头像模式 列表模式
FunMEMZ 发表于 2021-11-30 10:56:59 | 显示全部楼层

活跃 6137| 技术 5| 互助 7| 钻石 100

免    费    小    白    鼠
您需要登录后才可以回帖 登录 | 加入我们

本版积分规则

Lacy

61736

活跃

2

技术

9

互助
签到任务
最火的业界新闻
  • 安卓阵营三大旗舰Soc齐了!一文了解Exynos
  • Intel EUV极紫外光刻设备进厂:冲刺“4nm”
  • NVIDIA新驱动解锁GPU隐藏技能:这下轻松了
  • 性能强悍!NVIDIA RTX 3070 Ti笔记本显卡跑
  • 手机里的“自适应显示刷新率“是什么?终于
  • 三星提前终止LCD 新一代屏幕来了!加速转型
  • 比Wi-Fi 6快2.4倍!联发科全球首秀Wi-Fi 7
  • 为Intel单独建3nm工厂?台积电回应合作问题
  • Intel 11代、12代酷睿放弃SGX支持 不能播放
  • 游戏性能大涨40% AMD的锐龙7 5800X3D处理器
炫酷的硬件Show
  • MARK 1 - 设计型 PC 与垂直风道
  • 好的大王,没问题大王
  • 振华SUPER FLOWER 铜皇450W 铜牌电源
  • 比小更小,Mini-STX装机
  • 华擎X99E-ITX + 银欣ML06 装机记
  • 最强双路泰坦硬管水冷 制作流程
  • 银欣FT02,双路E5工作站
  • 迟到的定制机箱小钢炮清理灰尘
  • 乔思伯UMX1 Plus,小巧的家用综合主机
  • 分体水冷第二弹-Inwin 805 infinity
有趣的美图分享
  • 不是…通常这种情况石头会蹦起来压你脸上
  • 顶级预判
  • 救命,真实哭了
  • 只在一念之间
  • 我也进入循环了
  • 这可太孝了
  • 是不是快到年的你
  • 防成龙
  • 绿巨人:你礼貌吗
  • 我就不沾水
关注官方微信
快速回复 返回顶部 返回列表