Correção mal feita: falha de dia-zero é encontrada em patch do Windows que resolvia vulnerabilidade – Neotel Segurança Digital
Skip to content
Neotel Segurança Digital
Informações e notícias sobre segurança digital, legislação e compliance
Menu
Início
Website Neotel
Política de Privacidade
Sem categoria
Correção mal feita: falha de dia-zero é encontrada em patch do Windows que resolvia vulnerabilidade
melfcastro 24/11/2021
Share
Facebook	
Twitter	
LinkedIn	
Views: 37
0	 0	
Read Time:2 Minute, 1 Second
Por Gabriel D. Lourenço
Um pesquisador de segurança encontrou uma falha de dia-zero em uma atualização emergencial de segurança das versões do sistema operacional Windows 10, 11 e Server 2022. A brecha anterior permitia que os instaladores fossem usados para transmitir malware (o BazarLoader), e dar ao infiltrado privilégios de administrador do computador. A Microsoft alegou ter corrigido uma semana atrás, porém, parece que não corrigiu tão bem assim.
Intitulada CVE-2021-41379, a “Vulnerabilidade de Elevação de Privilégio do Windows Installer”, podia ser usada por cibercriminosos em golpes que utilizam programas maliciosos para tomar controle total dos alvos. Dessa maneira, poderiam roubar dados, excluir contas ou, ainda, conseguir acesso lateral a outras máquinas na rede.
Abdelhamid Naceri, o pesquisador que encontrou a falha, esbarrou com a brecha após examinar melhor o patch fornecido pela Microsoft para corrigir o problema. Ele então demonstrou uma prova de conceito no GitHub de um programa que poderia ignorar facilmente as novas medidas oferecidas pela atualização de segurança.
“Essa variante foi descoberta durante a análise do patch CVE-2021-41379. O bug não foi corrigido corretamente, entretanto, mantendo a brecha”, explica Naceri no documento. “Eu decidi mosrar essa variante já que ela é mais poderosa do que o original”.
Falha dia-zero foi motivada por… má remuneração
O pesquisador explica que resolveu expôr a falha de dia-zero após a correção de segurança do Windows por pura frustração financeira. Isso porque a Microsoft tem remunerado cada vez pior as descobertas de falhas aos hackers white-hats — o que talvez até faça parecer que o crime compensa.
“As recompensas da Microsoft estão cada vez piores desde Abril de 2020, e eu realmente não faria isso se a MSFT não tomasse a decisão de diminuir estas recompensas”, lamenta Naceri ao BleepingComputer.
Um representante da Microsoft respondeu que a empresa “está ciente da revelação” e que irá fazer o necessário para manter os clientes seguros e protegidos. “Um atacante usando os métodos descritos já deve ter acesso e a habilidade de rodar código na máquina de uma vítima”, comenta.
Por fim, Abdelhamid Naceri esclarece que o melhor é esperar um patch de segurança automático do Windows, já que baixar o arquivo manualmente pode quebrar o próprio Windows Installer. “Então, é melhor você esperar e ver como a Microsoft vai estragar o patch outra vez”, finaliza.
FONTE: OLHAR DIGITAL
Navegação de Post
Previous
Previous post:
Memento: ransomware rouba dados com WinRAR e pede US$ 1 milhão
Next
Next post:
Alerta da Philips: dispositivos hospitalares em risco
Previous post Memento: ransomware rouba dados com WinRAR e pede US$ 1 milhão
Next post Alerta da Philips: dispositivos hospitalares em risco
Deixe um comentário Cancelar resposta
Você precisa fazer o login para publicar um comentário.
Pesquisar por:
Categorias
Categorias Selecionar categoria 4Fun Ameaça Aplicação Ataque Botnet Celular Cibercrime Cloud Compliance Criptografia e-mail Educação Espionagem Fraude GDPR Golpe Governo Hackers Infográfico IoT Legislação LGPD Malware Multa Phishing PME Prevenção Privacidade Proteção Ransomware Relatório Risco Saúde Segurança Sem categoria Senhas Uncategorized Varejo Vazamento Vulnerabilidade
Comentários
500 extensões de navegador maliciosas afetam milhares de usuários – Neotel Segurança Digital em Empresas que foram vítimas de cibercrimes voltam a ser atacadas no mesmo ano
cassia_rimoli em LGPD e o Setor Público
Arquivos
dezembro 2021
novembro 2021
outubro 2021
setembro 2021
agosto 2021
julho 2021
junho 2021
maio 2021
abril 2021
março 2021
fevereiro 2021
janeiro 2021
dezembro 2020
novembro 2020
outubro 2020
setembro 2020
agosto 2020
julho 2020
junho 2020
maio 2020
abril 2020
março 2020
fevereiro 2020
janeiro 2020
dezembro 2019
novembro 2019
outubro 2019
setembro 2019
agosto 2019
julho 2019
Tags
ameaça ameaças android ataque bitcoin bluekeep cartão de crédito celular cibercrime cloud compliance criptografia criptomoeda criptomoedas educação facebook GDPR golpe governo hacker hackers infográfico iot iphone legislação LGPD malware microsoft multa multas phishing PME prevenção privacidade ransomware rede social saúde segurança senhas vazamento vpn vulnerabilidade whatsapp wifi windows