- Güvenlik araştırmacısı, Windows 11’deki güvenlik açığını herkese açık bir şekilde ifşa ediyor.
- Açıklamanın nedeni, hata ödül programındaki düşük ödemenin yarattığı hayal kırıklığıydı.
- Güvenlik açığı Microsoft tarafından düzeltildi, ancak araştırmacı daha ciddi bir güvenlik bütünü için bir geçici çözüm buldu.
Bir güvenlik araştırmacısı olan Abdelhamid Naceri, Windows 11, 10 ve Windows Server’da bir saldırgana standart ayrıcalık düzeyinden yükseltilmiş komutları çalıştırması için sistem ayrıcalıkları veren bir güvenlik açığını kamuya açıkladı.
Microsoft bu sorunu Kasım 2021 güncellemesiyle düzeltmiş olsa da (CVE-2021-41379), güvenlik araştırmacısı, güvenlik açığından kaynaklanan hayal kırıklığı nedeniyle daha da ciddi bir yama uygulanmamış istismara yönelik düzeltmenin bir yolunu bulduktan sonra güvenlik açığını açıkladı. Microsoft Hata Ödülü programı. Program, güvenlik araştırmacılarının ve neredeyse herkesin işletim sistemindeki hataları bulup bildirerek para kazanmasını sağlar.
Naceri’ye göre, yazılım devi sıfır gün istismarı için yaklaşık 10.000 dolar ödüyordu. Ancak, Nisan 2020’den bu yana ödeme, bugün bir istismar bildirme noktasına kadar düşüyor, şimdi size sadece 1000$ kazandıracak. “Microsoft’un yeni hata ödül programı kapsamında, sıfır günlerimden biri 10.000 $ değerinden 1.000 $ değerine çıktı” @MalwareTech tarafından okunan tweetler.
“Bu varyant, CVE-2021-41379 yamasının analizi sırasında keşfedildi. Hata doğru şekilde düzeltilmedi. Ancak, bypass’ı bırakmak yerine. Orijinalinden daha güçlü olduğu için bu varyantı bırakmayı seçtim.” Naceri, GitHub sayfasındaki yazısında, bu kişinin yeni sıfır gün için çalışan bir kavram kanıtı istismarını gösterdiğini de belirtiyor.
BleeBilgisayar, bu durumu ilk bildiren site, istismarı Windows Update aracılığıyla sağlanan en güncel yamalarla bir Windows 11 makinesinde başarıyla test etti. ‘
Microsoft’un ödüller için neden daha az ödeme yaptığı açık olmasa da, son yıllarda özellik güncellemeleri ve toplu güncellemeler sırasında giderek daha fazla hata gördüğümüz için bunu yapmak zorunda kalabilir. Sonuç olarak şirket, belirlenen bütçenin karşılayamayacağı raporlarında bir artış görüyor. Veya yazılım devinin Windows’a girmeye çalışan daha az insan istediği durum olabilir.