谷歌揭示了另一個「高嚴重性」未修補的 Windows 10 問題

就安全性而言，這對微軟來說並不是一個好星期，谷歌的零項目繼續對微軟的操作系統和瀏覽器進行攻擊，而該公司無法跟上補丁的步伐。

與早期的 Edge 問題不同，谷歌的打擊小組在 3 月發現的新漏洞影響的是操作系統而不是瀏覽器，儘管給予了 14 個月和 XNUMX 天的延期，但微軟之前未能推出修復程序谷歌向公眾和潛在的黑客披露了這個漏洞。

谷歌將權限提升漏洞評為“高嚴重性”。 它允許用戶將任意安全描述符分配給導致特權提升的任意文件，這通常被網絡攻擊者用來獲得管理員特權，以便在目標網絡或系統中不受限制地移動。

SvcMoveFileInheritSecurity 函數調用中的漏洞將允許黑客修改系統文件，儘管這些文件被標記為只讀，並可能允許網絡上的其他用戶修改文件。

Google 發布了概念證明，他們在 Windows 文件夾中創建了一個文本文件，並使用 SvcMoveFileInheritSecurity RPC 覆蓋安全描述符以允許所有人訪問。

雖然谷歌將其評為高嚴重性，但微軟僅稱其為“重要”，並指出它不能被遠程利用，也不能從 Edge 和 Chrome 等沙盒內部被利用。 然而，黑客經常將許多漏洞鏈接在一起，即使是有限的漏洞也很危險。

Windows 用戶可能必須等到下個月的下一個補丁星期二才能修復。 到目前為止，還沒有關於該漏洞在野外被利用的報導。

閱讀有關該漏洞的更多信息 在Google這裡.

通過 ComputerWeekly