В Windows 10, Windows 11 и Windows Server была обнаружена новая уязвимость, которая позволяет повысить локальные привилегии и получить права администратора. В сети уже опубликован эксплойт для него, с помощью которого злоумышленники, которые уже взломали систему, но имеют ограниченный доступ, могут получить полный контроль над устройством. Уязвимость затрагивает все поддерживаемые в настоящее время версии Windows.
В рамках патча во вторник, ноябрь 2021 года, Microsoft устранила уязвимость повышения привилегий установщика Windows, известную как CVE-2021-41379. Эта уязвимость была обнаружена исследователем безопасности Абдельхамидом Насери, который нашел обходной путь для предоставленного исправления и новую, более мощную уязвимость повышения привилегий нулевого дня после изучения патча, выпущенного Microsoft. Вчера Насери опубликовал рабочий экспериментальный эксплойт для новой уязвимости на GitHub, объяснив, что он работает во всех поддерживаемых версиях Windows.
Вдобавок Насери объясняет, что хотя групповая политика может получить конфигурацию, запрещающую пользователям с базовыми привилегиями использовать установщик Windows (MSI); новая уязвимость обходит эту политику и в любом случае будет работать. BleepingComputer протестировал эксплойт InstallerFileTakeOver; и обнаружил, что ему потребовалось всего несколько секунд, чтобы получить привилегии уровня SYSTEM от тестовой учетной записи; со Стандартными привилегиями. Тест проводился на Windows 10 21H1 с номером сборки 19043.1348.
Насери сказал, что публично раскрыл уязвимость нулевого дня из-за разочарования в связи с сокращением программы вознаграждений Microsoft за ошибки в программном обеспечении. В Redmond Corporation ситуацию никак не комментировали. Вероятно, они исправят уязвимость с выходом обновления во вторник следующего патча.
Microsoft продолжит обновлять Windows 10 раз в год
Microsoft объявила о начале распространения обновления Windows 10 November 2021 Update (21H2). При этом разработчики заявили, что в будущем программная платформа будет получать крупные обновления раз в год. Доставка обновлений до Windows 11 доступна аналогично. Таким образом, следующее крупное обновление для Windows 10 выйдет только во второй половине 2022 года, а не в мае-июне, как было раньше.
«Мы переходим на новый график обновления Windows 10 , чтобы идти в ногу с темпами Windows 11; который фокусируется на получении функциональных обновлений каждый год. Следующее обновление функций Windows 10 выйдет во второй половине 2022 года. Мы продолжим поддерживать как минимум одну версию Windows 10 до 14 октября 2025 года ». Об этом говорится в заявлении Microsoft.
Несмотря на то, что основные планы Microsoft связаны с Windows 11; софтверный гигант будет выпускать функциональные обновления для предыдущей версии платформы в течение длительного времени. Переход на ежегодный выпуск функциональных обновлений будет хорошей новостью для корпоративных клиентов; которым необходимо протестировать выпущенные Microsoft пакеты на совместимость со своим оборудованием перед их установкой на пользовательские устройства. Это изменение также предоставит значительно больше времени для тестирования обновлений в рамках программы предварительной оценки; позволяя Microsoft устранять как можно больше ошибок до того, как обновления станут общедоступными.
