Nul
En sikkerheds-forsker har offentliggjort i dag, proof-of-concept kode, som en hacker kan udnytte til at køre skadelig kode på en ekstern computer via Microsoft-Kant browser.
Proof-of-concept (PoC) – kode er en Microsoft Kant sårbarhed –CVE-2018-8495– at Microsoft har lappet i denne uge en del af sine oktober 2018 Patch tirsdag.
Sårbarheden blev opdaget af den Kuwaitiske sikkerhedsekspert Abdulrahman Al-Qabandi, der rapporterede resultaterne til Microsoft via Trend Micro ‘ s Zero-Day Initiativ program.
I dag, efter at sikre, Microsoft havde rullet en rettelse, Al-Qabandi offentliggjort i dybden detaljer om den Kant sårbarhed på sin blog.
Ud over de sædvanlige tekniske nedbrud, der ledsager alle sådanne sårbarhed skrive-ups, forskeren er også inkluderet proof-of-concept kode, så andre forskere kunne reproducere fejlen effekt.
Sådan Poc er som regel ganske kompliceret, men Al-Qabandi ‘ s kode er kun HTML og JavaScript, hvilket betyder, at det kunne være hosted på en hjemmeside.
Ifølge forskeren, alle angriberen skal gøre, er at narre en bruger til at få adgang til en ondsindet hjemmeside hosting PoC via en Kant browser, og tryk derefter på Enter-tasten. Når brugeren slipper tasten Enter, PoC kører og udfører et Visual Basic script via Windows Script Host (WSH) standard ansøgning.
I sin nuværende form, PoC vil kun starte Windows Lommeregner app, men nogen dygtig malware forfatter kan ændre denne kode med lethed til at udløse mere farlige operationer, som lydløst at downloade og installere malware.
En video, der viser, hvor let er at narre en bruger til ved et uheld auto-hacking selv er indlejret nedenfor.
Da sårbarhed kræver “social engineering”, det er sandsynligvis ikke så nyttige for automatiseret malware kampagner, som dem, der udføres via exploit kits og malvertising kampagner. I stedet sårbarheden kan vise sig meget nyttige for målrettede angreb mod udvalgte, høj-værdi mål.
Kører Windows 10 oktober 2018 sikkerhedsrettelser vil forhindre angribere i at bruge denne sårbarhed over for Windows-brugere.
Microsoft sagde, at det ikke opdage udnyttelse af forsøg for denne svaghed, inden den blev indsat en patch denne tirsdag.
RELATEREDE DÆKNING:
WhatsApp løser bug, der lader hackere overtage app, når du besvarer et videoopkaldWhatsApp udgivelser business API: Her er hvordan du kan bruge det TechRepublicOver ni millioner kameraer og Dvr åben for APTs, botnet hyrder, og voyeursAdobe sikkerhedsopdatering løser en håndfuld kritiske fejl, ignorerer Flash PlayerMikroTik sårbarhed klatrer op sværhedsgraden skala, nye angreb tillader root adgang tilDisse populære Android telefoner der kom med sårbarheder pre-installeret CNET
Relaterede Emner:
Microsoft
Sikkerhed-TV
Data Management
CXO
Datacentre
0