未加星标

最新的零日漏洞已被证实存在于Windows 7和8.1中

字体大小 | |
[业界资讯 所属分类 业界资讯 | 发布者 店小二03 | 时间 20150204 | 作者 路人甲 ] 0人收藏点击收藏
日前,谷歌公司披露了另一个windows零日漏洞,因为微软公司尚未能修复这个漏洞,这也是1月内第三次谷歌的Project Zero发布关于未打补丁Windows漏洞的细节。

这个最新的零日漏洞已被证实存在于Windows 7和8.1中,它影响着函数CryptProtectMemory,这可能允许进程间的内存共享和登录会话ID提取。

根据Project Zero对该漏洞的描述,“GNG.sys中的部署在捕捉登录会话id时不会检查令牌的模拟水平,这样普通用户就可以模拟鉴定水平,并解密或加密该登录会话的数据。”

Project Zero最早在10月17日向微软报告了该漏洞,从这一天就开始进入谷歌90天公开披露的最后期限倒计时,谷歌称如果在这个时间内没有“广泛可用的补丁”,漏洞报告将会自动发布。

根据谷歌Project Zero问题跟踪网站的跟进文章显示,微软曾计划将该漏洞的补丁作为2015年1月星期二补丁修复的一部分,但由于兼容性问题而推迟。现在这个补丁计划将包含在2015年2月星期二补丁修复中,而谷歌对该漏洞的披露可能让Windows用户在那之前处于威胁之中。

双方都需要承担责任

谷歌因其自动披露政策而遭到抨击,微软称补丁修复已经在处理中,没必要让用户处于危险之中。安全供应商Veracode公司首席技术官兼首席信息安全官Chris Wysopal对这个漏洞将造成多大的威胁发出了警告。

Wysopal表示:“目前尚不清楚攻击者将如何利用这个漏洞。对于初学者来说,这是一个本地漏洞,这没有远程利用漏洞那么严重。但它可能被用于权限提升,这意味着攻击者可能利用该漏洞来在企业系统安装网络间谍或僵尸恶意软件。”

Wysopal认为谷歌可能要重新考虑其发布零日漏洞报告的政策,并称每个规则都会有例外情况,当对于补丁不能在截止日期前发布有着很好的解释时,谷歌应该延迟公布报告。

“谷歌的90天披露期限很不好,他们貌似没有考虑漏洞能否在90天内安全地修复,”安全供应商Bit9公司解决方案架构师Matt Larsen表示,“微软不能按时修复补丁也不好,或者更糟糕的情况是,补丁存在技术问题。”

Larsen表示,双方都需要承担更多责任,专注于更大的利益,否则对双方都不好,而且在这个过程中用户还会受到伤害。

本文业界资讯相关术语:网络安全论文 网络安全密钥 网络安全工程师 网络安全技术与应用 网络安全概念股 网络安全知识 网络安全宣传周 网络安全知识竞赛 网络安全事件

tags: 漏洞,#160,补丁,谷歌,Windows,Zero,零日,Project,修复,Wysopal,微软,会话,披露,对该
分页:12
转载请注明
本文标题:最新的零日漏洞已被证实存在于Windows 7和8.1中
本站链接:https://www.codesec.net/view/58118.html


1.凡CodeSecTeam转载的文章,均出自其它媒体或其他官网介绍,目的在于传递更多的信息,并不代表本站赞同其观点和其真实性负责;
2.转载的文章仅代表原创作者观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,本站对该文以及其中全部或者部分内容、文字的真实性、完整性、及时性,不作出任何保证或承若;
3.如本站转载稿涉及版权等问题,请作者及时联系本站,我们会及时处理。
登录后可拥有收藏文章、关注作者等权限...
技术大类 技术大类 | 业界资讯 | 评论(0) | 阅读(361)